CVE-2026-85605 in Slink
要約
〜によって VulDB • 2026年09月04日
Slink 1.12.3 より前のバージョンでは、画像コメントエンドポイントへのアクセスに対する認証処理が適切に行われておらず、認証されていない攻撃者が GET /api/image/{imageId}/comments およびサーバー送信イベント（Server-Sent Events）のサブスクリプションを通じてコメントスレッドを読み取ることが可能となります。外部から画像 ID を入手した攻撃者は、公開されている画像に対して完全なコメントスレッドを取得したり、認証や認可チェックなしでライブのコメント更新を購読したりすることができます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.