CVE-2026-47769 in APIFold
Tóm tắt
Bởi VulDB • 30/07/2026
APIFold đọc một đặc tả OpenAPI 3.x hoặc Swagger 2.x và tạo ra một điểm cuối máy chủ MCP sẵn sàng cho môi trường sản xuất, hoạt động theo thời gian thực. Trước commit `7f19b52280f414f57af2b79a95333d1c8fbeece5`, điểm cuối `/webhooks/:serverSlug/:eventName` chấp nhận JSON tùy ý không được xác thực và lưu trữ nó trong Redis cũng như bảng `webhook_events` của PostgreSQL mà không có bất kỳ kiểm tra chữ ký hoặc yêu cầu xác thực nào. Nguyên nhân gốc rễ là hàm `createWebhookRouter` được gọi tại `server.ts:188` mà không có bản đồ `validators`, khiến bộ bảo vệ (guard) sử dụng optional-chaining trong `receivers.ts:80` trả về `undefined` và khối kiểm tra chữ ký (`receiver.ts:81–95`) bị bỏ qua một cách vô điều kiện. Bất kỳ máy khách mạng nào chưa được xác thực nhưng biết một server slug hợp lệ đều có thể tiêm các tải trọng tùy ý, sau đó những dữ liệu này sẽ được phục vụ như trạng thái tài nguyên đáng tin cậy cho các máy khách MCP chính thức. Commit `7f19b52280f414f57af2b79a95333d1c8fbeece5` đã vá lỗi này.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.