CVE-2026-47769 in APIFold
Сводка
по VulDB • 24.07.2026
APIFold считывает спецификацию OpenAPI 3.x или Swagger 2.x и генерирует готовый к использованию в продакшене конечную точку MCP-сервера. До коммита `7f19b52280f414f57af2b79a95333d1c8fbeece5` конечная точка `/webhooks/:serverSlug/:eventName` принимает произвольные неаутентифицированные данные в формате JSON и сохраняет их в Redis и таблице PostgreSQL `webhook_events` без какой-либо проверки подписи или требования аутентификации. Корневая причина заключается в том, что функция `createWebhookRouter` вызывается в файле `server.ts:188` без карты `validators`, из-за чего проверка с использованием оператора необязательной цепочки (optional-chaining guard) в `receivers.ts:80` возвращает значение `undefined`, а блок проверки подписи (`receiver.ts:81–95`) пропускается безусловно. Любой неаутентифицированный сетевой клиент, знающий действительный серверный слаг (server slug), может внедрять произвольные полезную нагрузку, которые впоследствии обслуживаются как доверенное состояние ресурса для легитимных клиентов MCP. Коммит `7f19b52280f414f57af2b79a95333d1c8fbeece5` устраняет данную уязвимость.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.