CVE-2026-73405 in Vulnerability Lookup
Tóm tắt
Bởi VulDB • 12/08/2026
Một lỗ hổng bỏ qua xác thực (authorization bypass) trong Vulnerability-Lookup cho phép các tài khoản không hoạt động hoặc chưa được xác nhận đăng ký vào các luồng Sự kiện gửi bởi máy chủ (Server-Sent Events - SSE) thông qua điểm cuối /pubsub/subscribe/<topic>.
Trình trang trí (decorator) token_required do giao diện Pub/Sub sử dụng chỉ xác thực yêu cầu bằng cách so khớp tiêu đề X-API-KEY với một khóa API người dùng hiện có. Không giống như cơ chế xác thực của REST API, nó không kiểm tra trạng thái is_active và is_confirmed của tài khoản.
Do quy trình tự đăng ký cấp phát khóa API trước khi việc xác nhận tài khoản hoàn tất, kẻ tấn công có thể tạo tài khoản và ngay lập tức sử dụng khóa API tương ứng để truy cập các chủ đề Pub/Sub vốn chỉ dành cho người dùng đã hoạt động và được xác nhận. Điều này có thể làm lộ các sự kiện luồng dữ liệu mà lẽ ra không thể tiếp cận thông qua REST API, bao gồm cả dữ liệu mới được gửi hoặc chưa được kiểm duyệt như bình luận.
Lỗ hổng xuất phát từ việc thực thi xác thực không nhất quán giữa REST API và giao diện truyền tải SSE.
Bản vá khắc phục sự cố bằng cách yêu cầu tài khoản phải vừa hoạt động vừa đã được xác nhận trước khi cho phép truy cập vào các luồng Pub/Sub, qua đó đưa ranh giới xác thực của SSE phù hợp với REST API.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.