CVE-2026-84485
WysokieCVSS 7.5Streszczenie
APITable do wersji 1.13.0-beta.1 udostępnia wewnętrzny punkt końcowy loadOrSearch organizacji bez uwierzytelniania, co pozwala nieuwierzytelnionym atakującym na pobieranie nazw członków, adresów e-mail i hierarchii zespołów. Atakujący mogą wysyłać zapytania do punktu końcowego z identyfikatorami przestrzeni uzyskanymi z udostępnionych linków lub publicznych szablonów, aby wyliczyć pełny katalog członków dowolnego obszaru roboczego.
Ocena ryzyka
Atakujący może ujawnić dane osobowe członków organizacji, co narusza prywatność i może prowadzić do ataków phishingowych lub socjotechnicznych.
Rekomendacja
Zaktualizuj APITable do wersji, która zawiera poprawkę, oraz wymuś uwierzytelnianie dla wszystkich punktów końcowych API.
Inne podatności w APITable
Zobacz wszystkie- CVE-2026-80208Wysokie
APITable do wersji 1.13.0-beta.1 oznacza endpointy getUserHistories i closePausedUserAccount jako wymagające logowania = false. ResourceInterceptor honoruje tę adnotację, pomijając walidację sesji, a brama nginx przekazuje wszystkie żądania /api do backendu. Nieuwierzytelniony atakujący może wyliczyć konta w okresie karencji i zamknąć je, usuwając dane konta i uniemożliwiając odzyskanie.
- CVE-2026-80207Średnie
Podatność w APITable do wersji 1.13.0-beta.1 pozwala nieuwierzytelnionemu atakującemu na tworzenie powiadomień w systemie. Brak wymaganego logowania dla create handlera InternalNotifyController oraz proxy nginx umożliwiają dostęp do API.
Oryginalny opis (angielski, źródło NVD)
APITable through 1.13.0-beta.1 exposes the internal organization loadOrSearch endpoint without authentication, allowing unauthenticated attackers to retrieve member names, email addresses, and team hierarchy. Attackers can query the endpoint with space identifiers obtained from shared links or public templates to enumerate the complete member directory of any workspace.