CVE-2026-54635 in tonapi
요약
\~에 의해 VulDB • 2026. 07. 28.
pytonapi는 TONAPI를 위한 Python SDK로, REST API, 스트리밍 및 웹훅을 통해 TON 블록체인에 접근할 수 있는 기능을 제공합니다. 버전 2.0.0부터 2.2.0까지 TonapiWebhookDispatcher는 문서화된 경로 인수를 사용하여 웹훅 핸들러가 등록될 때 Authorization 헤더를 검증하지 않습니다. 이는 setup() 메서드가 Bearer 토큰을 기본 접미사 경로에만 저장하고 사용자 지정 경로를 토큰 맵에 추가하지 않기 때문이며, 그 결과 self._tokens.get(path)는 None을 반환하여 인증 가드(authentication guard)가 건너뛰어집니다. 비인증 원격 공격자는 사용자 지정 웹훅 엔드포인트로 위조된 페이로드를 POST하여 피해자가 정의한 핸들러를 트리거할 수 있습니다. 이 문제는 버전 2.2.1에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.