CVE-2026-73405 in Vulnerability Lookup
要約
〜によって VulDB • 2026年08月13日
Vulnerability-Lookupの認可回避脆弱性により、非アクティブまたは未確認のアカウントが/pubsub/subscribe/<topic>エンドポイントを介してServer-Sent Events (SSE)ストリームに登録できました。
Pub/Subインターフェースで使用されるtoken_requiredデコレータは、X-API-KEYヘッダーを既存のユーザーAPIキーと照合するだけでリクエストを認証していました。REST APIの認証メカニズムとは異なり、アカウントのis_activeおよびis_confirmedステータスは検証されませんでした。
自己登録プロセスではアカウント確認が完了する前にAPIキーが発行されるため、攻撃者はアカウントを作成し、生成されたAPIキーを使用してすぐにPub/Subトピックにアクセスできました。これにより、アクティブで確認済みユーザーのみ利用可能なはずのストリームイベント（コメントなど、新規投稿またはまだモデレーションされていないデータを含む）が露見する可能性があります。
この脆弱性は、REST APIとSSEストリーミングインターフェースの間での認可強制の不整合に起因します。
パッチは、Pub/Subストリームへのアクセスを許可する前にアカウントがアクティブかつ確認済みであることを要求することで問題を修正し、SSEの認可境界をREST APIに合わせています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.