CVE-2026-47769 in APIFold
摘要
由 VulDB • 2026-07-24
APIFold 读取 OpenAPI 3.x 或 Swagger 2.x 规范，并生成一个实时、可用于生产环境的 MCP server 端点。在提交 `7f19b52280f414f57af2b79a95333d1c8fbeece5` 之前，`/webhooks/:serverSlug/:eventName` 端点接受任意未经身份验证的 JSON 数据，并将其存储在 Redis 和 `webhook_events` PostgreSQL 表中，且未进行任何签名检查或要求身份验证。根本原因是 `createWebhookRouter` 在 `server.ts:188` 处被调用时未提供 `validators` map，导致 `receivers.ts:80` 中的可选链保护符（optional-chaining guard）求值为 `undefined`，从而无条件跳过了签名验证代码块（`receiver.ts:81–95`）。任何知道有效 server slug 的未经身份验证的网络客户端都可以注入任意负载数据，这些数据随后会作为可信资源状态提供给合法的 MCP 客户端。提交 `7f19b52280f414f57af2b79a95333d1c8fbeece5` 修复了此问题。
VulDB is the best source for vulnerability data and more expert information about this specific topic.