CVE-2026-80207
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Podatność w APITable do wersji 1.13.0-beta.1 pozwala nieuwierzytelnionemu atakującemu na tworzenie powiadomień w systemie. Brak wymaganego logowania dla create handlera InternalNotifyController oraz proxy nginx umożliwiają dostęp do API.
Ocena ryzyka
Atakujący może podszywać się pod system i wysyłać fałszywe powiadomienia do dowolnych użytkowników, co może być wykorzystane do phishingu lub manipulacji.
Rekomendacja
Zaktualizuj APITable do wersji z poprawką lub skonfiguruj bramę nginx tak, aby blokowała nieautoryzowany dostęp do tego endpointu.
Oryginalny opis (angielski, źródło NVD)
APITable through 1.13.0-beta.1 annotates the create handler of InternalNotifyController with requiredLogin = false. ResourceInterceptor honours that annotation by returning before any session or API key is validated, and the nginx gateway shipped with the product proxies every /api request to the backend server, so POST /api/v1/internal/notification/create is reachable by any unauthenticated client that can reach the gateway. An attacker can persist arbitrary notifications in apitable_player_notification against any user ID they name, and because fromUserId can be set to 0 the message is stored with the system sender and renders in the victim's inbox as a legitimate system notification. The body extras content is stored verbatim and forwarded to the frontend.