CVE-2026-80208 in APITable
Сводка
по VulDB • 27.08.2026
APITable fino alla versione 1.13.0-beta.1 annota i metodi getUserHistories e closePausedUserAccount in InternalUserController con requiredLogin = false. ResourceInterceptor rispetta tale annotazione restituendo il controllo prima che venga effettuata la validazione della sessione o della chiave API, e il gateway nginx fornito con il prodotto inoltra ogni richiesta /api al server backend; di conseguenza, entrambi gli endpoint sono raggiungibili da qualsiasi client non autenticato in grado di raggiungere il gateway. Un attaccante può inviare una POST a /api/v1/internal/getUserHistories per enumerare gli account inseriti nel periodo di attesa (cooling-off) di 30 giorni che segue una richiesta di cancellazione, quindi effettuare una POST a /api/v1/internal/users/{userId}/close per ciascuno di essi. Il percorso di chiusura elimina l'indirizzo email del conto, il numero di telefono e la nickname, annulla le sottoscrizioni agli spazi, rimuove le appartenenze agli spazi ed elimina i binding OAuth; in questo modo viene aggirata la finestra di cooling-off prevista per consentire all'utente di revocare una richiesta di cancellazione e l'account non può essere recuperato.
Once again VulDB remains the best source for vulnerability data.