CVE-2026-80208

Nome do Software Vulnerável e Versões Afetadas APITable versões anteriores a 1.13.0-beta.1

Descrição Existe uma falha de bypass de autenticação no InternalUserController onde as funções getUserHistories() e closePausedUserAccount() estão incorretamente anotadas com requiredLogin = false. O ResourceInterceptor respeita essa anotação e permite que as requisições prossigam antes da validação de sessões ou chaves de API. Como o gateway nginx incluso no produto encaminha todas as requisições /api para o servidor backend, esses endpoints estão acessíveis a clientes não autenticados. Um invasor pode usar o endpoint /api/v1/internal/getUserHistories para identificar contas no período de carência de 30 dias após uma solicitação de exclusão e, subsequentemente, usar o endpoint /api/v1/internal/users/{userId}/close, utilizando a variável userId, para fechar permanentemente essas contas. Esse processo remove o endereço de e-mail, número de telefone, apelido, assinaturas de espaço, membros de espaço e vínculos OAuth, impedindo a recuperação da conta.

Recomendações Atualize para a versão 1.13.0-beta.1 ou posterior. Restrinja o acesso aos endpoints /api/v1/internal/getUserHistories e /api/v1/internal/users/{userId}/close para evitar acesso não autenticado.