CVE-2026-80207
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Podatność w APITable do wersji 1.13.0-beta.1 pozwala nieuwierzytelnionemu atakującemu na tworzenie powiadomień w systemie. Brak wymaganego logowania dla create handlera InternalNotifyController oraz proxy nginx umożliwiają dostęp do API.
Ocena ryzyka
Atakujący może podszywać się pod system i wysyłać fałszywe powiadomienia do dowolnych użytkowników, co może być wykorzystane do phishingu lub manipulacji.
Rekomendacja
Zaktualizuj APITable do wersji z poprawką lub skonfiguruj bramę nginx tak, aby blokowała nieautoryzowany dostęp do tego endpointu.
Inne podatności w APITable
Zobacz wszystkie- CVE-2026-111344Średnie
APITable do wersji 1.14.0-beta zawiera podatność obejścia autoryzacji, umożliwiającą uwierzytelnionym użytkownikom odczytywanie opisów węzłów z innych przestrzeni poprzez podanie kontrolowanego przez użytkownika nodeId. Atakujący mogą wysyłać żądania GET /node/{nodeId}/description, które pomijają sprawdzanie członkostwa w przestrzeni i uprawnień do węzła, ujawniając opisy arkuszy danych, folderów i formularzy między dzierżawcami.
- CVE-2026-86120Średnie
APITable do wersji 1.13.0-beta.1 zawiera podatność nieprawidłowej autoryzacji w NodePermissionGuard, która nie egzekwuje kontroli dostępu na poziomie węzła, gdy wyszukiwanie uprawnień zgłasza wyjątki. Atakujący z ważnymi tokenami Fusion API mogą zapisywać załączniki do prywatnych arkuszy, do których mają jawnie zabroniony dostęp, wykorzystując nieobsłużony wyjątek w guardzie uprawnień.
- CVE-2026-84485Wysokie
APITable do wersji 1.13.0-beta.1 udostępnia wewnętrzny punkt końcowy loadOrSearch organizacji bez uwierzytelniania, co pozwala nieuwierzytelnionym atakującym na pobieranie nazw członków, adresów e-mail i hierarchii zespołów. Atakujący mogą wysyłać zapytania do punktu końcowego z identyfikatorami przestrzeni uzyskanymi z udostępnionych linków lub publicznych szablonów, aby wyliczyć pełny katalog członków dowolnego obszaru roboczego.
- CVE-2026-80208Wysokie
APITable do wersji 1.13.0-beta.1 oznacza endpointy getUserHistories i closePausedUserAccount jako wymagające logowania = false. ResourceInterceptor honoruje tę adnotację, pomijając walidację sesji, a brama nginx przekazuje wszystkie żądania /api do backendu. Nieuwierzytelniony atakujący może wyliczyć konta w okresie karencji i zamknąć je, usuwając dane konta i uniemożliwiając odzyskanie.
Oryginalny opis (angielski, źródło NVD)
APITable through 1.13.0-beta.1 annotates the create handler of InternalNotifyController with requiredLogin = false. ResourceInterceptor honours that annotation by returning before any session or API key is validated, and the nginx gateway shipped with the product proxies every /api request to the backend server, so POST /api/v1/internal/notification/create is reachable by any unauthenticated client that can reach the gateway. An attacker can persist arbitrary notifications in apitable_player_notification against any user ID they name, and because fromUserId can be set to 0 the message is stored with the system sender and renders in the victim's inbox as a legitimate system notification. The body extras content is stored verbatim and forwarded to the frontend.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS