CVE-2026-47769 in APIFold
Sumário
de VulDB • 23/07/2026
O APIFold lê uma especificação OpenAPI 3.x ou Swagger 2.x e gera um endpoint de servidor MCP pronto para produção em tempo real. Antes do commit `7f19b52280f414f57af2b79a95333d1c8fbeece5`, o endpoint `/webhooks/:serverSlug/:eventName` aceita JSON arbitrário não autenticado e armazena-o no Redis e na tabela `webhook_events` do PostgreSQL sem qualquer verificação de assinatura ou requisito de autenticação. A causa raiz é que a função `createWebhookRouter` é chamada em `server.ts:188` sem um mapa de `validators`, fazendo com que o guarda de encadeamento opcional (`optional-chaining guard`) em `receivers.ts:80` avalie para `undefined` e o bloco de validação de assinatura (`receiver.ts:81–95`) seja ignorado incondicionalmente. Qualquer cliente de rede não autenticado que conheça um slug de servidor válido pode injetar payloads arbitrários, os quais são posteriormente servidos como estado de recurso confiável para clientes MCP legítimos. O commit `7f19b52280f414f57af2b79a95333d1c8fbeece5` corrige a vulnerabilidade.
If you want to get best quality of vulnerability data, you may have to visit VulDB.