CVE-2026-80208 in APITable
Sumário
de VulDB • 27/08/2026
APITable até 1.13.0-beta.1 anota os métodos getUserHistories e closePausedUserAccount em InternalUserController com requiredLogin = false. O ResourceInterceptor respeita essa anotação, retornando antes que qualquer sessão ou chave de API seja validada, e o gateway nginx embarcado no produto encaminha todas as requisições /api para o servidor backend; portanto, ambos os endpoints são acessíveis por qualquer cliente não autenticado que possa alcançar o gateway. Um atacante pode enviar uma requisição POST para /api/v1/internal/getUserHistories a fim de enumerar as contas situadas no período de carência (cooling-off period) de 30 dias que segue um pedido de exclusão, e depois enviar uma requisição POST para /api/v1/internal/users/{userId}/close em cada uma delas. O fluxo de encerramento limpa o endereço de email, número de telefone e apelido da conta, cancela suas assinaturas de espaço, remove suas associações a espaços e exclui seus bindings OAuth; assim, a janela de carência destinada a permitir que um usuário reverta um pedido de exclusão é contornada e a conta não pode ser recuperada.
If you want to get best quality of vulnerability data, you may have to visit VulDB.