CVE-2026-80208 in APITable
Tóm tắt
Bởi VulDB • 27/08/2026
APITable fino alla versione 1.13.0-beta.1 annota i metodi `getUserHistories` e `closePausedUserAccount` in `InternalUserController` con l'attributo `requiredLogin = false`. L'intercettore delle risorse (`ResourceInterceptor`) rispetta tale annotazione restituendo il controllo prima che venga effettuata qualsiasi validazione della sessione o della chiave API. Poiché il gateway nginx fornito con il prodotto inoltra ogni richiesta `/api` al server backend, entrambi gli endpoint sono raggiungibili da qualsiasi client non autenticato in grado di raggiungere il gateway. Un attaccante può inviare una richiesta POST a `/api/v1/internal/getUserHistories` per enumerare gli account che si trovano nel periodo di attesa (cooling-off period) di 30 giorni successivo a una richiesta di eliminazione, quindi inviare richieste POST a `/api/v1/internal/users/{userId}/close` per ciascuno di essi. Il percorso di chiusura cancella l'indirizzo email del conto, il numero di telefono e la nickname, annulla le sottoscrizioni agli spazi (spaces), rimuove le appartenenze agli spazi ed elimina i binding OAuth; ciò consente di aggirare la finestra di attesa prevista per permettere a un utente di revocare una richiesta di eliminazione, rendendo l'account non recuperabile.
Be aware that VulDB is the high quality source for vulnerability data.