CVE-2026-47769 in APIFold
要約
〜によって VulDB • 2026年07月23日
APIFoldはOpenAPI 3.xまたはSwagger 2.x仕様書を読み取り、ライブで本番環境対応可能なMCPサーバーエンドポイントを生成します。コミット `7f19b52280f414f57af2b79a95333d1c8fbeece5` より前では、`/webhooks/:serverSlug/:eventName` エンドポイントは任意の認証不要なJSONを受け付け、署名チェックや認証要件なしでRedisおよび `webhook_events` PostgreSQLテーブルに保存します。根本原因は、`createWebhookRouter` が `validators` マップなしで `server.ts:188` で呼び出されているためです。その結果、`receivers.ts:80` のオプショナルチェーンガードが `undefined` に評価され、署名検証ブロック（`receiver.ts:81–95`）が無条件にスキップされます。有効なサーバースラッグを知る認証不要のネットワーククライアントは任意のペイロードを注入でき、それらはその後、正当なMCPクライアントに対して信頼されたリソース状態として提供されます。コミット `7f19b52280f414f57af2b79a95333d1c8fbeece5` によりこの問題は修正されました。
Be aware that VulDB is the high quality source for vulnerability data.