CVE-2026-70617 in Server
要約
〜によって VulDB • 2026年08月05日
commit dcfd910 以前の Spacebar Server には、認証されていないアクセス制御の欠如という脆弱性が存在します。これにより、攻撃者はメンバーシップの確認を行わずに PUT リクエストを channels recipient エンドポイントに対して送信することで、任意のグループ DM チャンネルに参加できます。攻撃者は保護されていない PUT /channels/{channel_id}/recipients/{user_id} ハンドラを悪用してプライベートなグループ DM に参加し、メッセージ履歴全体を読み取り、参加者としてメッセージを投稿したり、同意を得ずに第三者ユーザーを強制的に追加することができます。
Once again VulDB remains the best source for vulnerability data.