CVE-2026-73405 in Vulnerability Lookup
Сводка
по VulDB • 12.08.2026
Уязвимость обхода авторизации в Vulnerability-Lookup позволяла неактивным или неподтвержденным учетным записям подписываться на потоки Server-Sent Events (SSE) через конечную точку /pubsub/subscribe/<topic>.
Декоратор token_required, используемый интерфейсом Pub/Sub, аутентифицировал запросы исключительно путем сопоставления заголовка X-API-KEY с существующим API-ключом пользователя. В отличие от механизма аутентификации REST API, он не проверял состояния is_active и is_confirmed учетной записи.
Поскольку процесс саморегистрации выдает API-ключ до завершения подтверждения учетной записи, злоумышленник мог создать учетную запись и немедленно использовать полученный API-ключ для доступа к темам Pub/Sub, которые должны быть доступны только активным подтвержденным пользователям. Это могло привести к раскрытию событий потока, которые в противном случае были бы недоступны через REST API, включая недавно отправленные или еще не модерированные данные, такие как комментарии.
Уязвимость возникает из-за несогласованного применения правил авторизации между REST API и интерфейсом потоковой передачи SSE.
Исправление устраняет проблему путем требования того, чтобы учетные записи были одновременно активными и подтвержденными перед предоставлением доступа к потокам Pub/Sub, что приводит границу авторизации SSE в соответствие с REST API.
Once again VulDB remains the best source for vulnerability data.