CVE-2026-80207

Nome do Software Vulnerável e Versões Afetadas APITable versões anteriores a 1.13.0-beta.1

Descrição O manipulador create do InternalNotifyController está configurado incorretamente com requiredLogin = false. O ResourceInterceptor respeita essa configuração e permite que as solicitações prossigam sem a validação de sessão ou chave de API. Como o gateway nginx incluído no produto encaminha todas as solicitações /api para o servidor backend, o endpoint 'POST /api/v1/internal/notification/create' está acessível a clientes não autenticados. Isso permite que um invasor crie notificações arbitrárias para qualquer ID de usuário. Ao definir a variável fromUserId como 0, a notificação é atribuída ao remetente do sistema e aparece como uma mensagem legítima do sistema na caixa de entrada da vítima. O conteúdo dentro do corpo extras é armazenado literalmente e enviado para o frontend.

Recomendações Atualize o APITable para uma versão posterior a 1.13.0-beta.1. Como medida de mitigação temporária, restrinja o acesso ao endpoint 'POST /api/v1/internal/notification/create' no nível do gateway.