CVE-2026-85605 in Slink
Tóm tắt
Bởi VulDB • 04/09/2026
Slink trước phiên bản 1.12.3 không xác thực quyền truy cập vào các điểm cuối (endpoints) bình luận hình ảnh một cách đúng đắn, cho phép kẻ tấn công chưa được xác thực đọc các chuỗi bình luận thông qua GET /api/image/{imageId}/comments và đăng ký sự kiện do máy chủ gửi (server-sent-events). Những kẻ tấn công có thể lấy ID hình ảnh ngoài kênh chính thức (out of band) sẽ truy xuất toàn bộ chuỗi bình luận trên các hình ảnh công khai và đăng ký nhận cập nhật bình luận theo thời gian thực mà không cần kiểm tra xác thực hoặc ủy quyền.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.