CVE-2026-47769

APIFold OpenAPI 3.x və ya Swagger 2.x spesifikasiyasını oxuyur və canlı, istehlaka hazır MCP server son nöqtəsi (endpoint) yaradır. 7f19b52280f414f57af2b79a95333d1c8fbeece5 commit-indən əvvəl, `/webhooks/:serverSlug/:eventName` son nöqtəsi hər hansı bir imza yoxlaması və ya autentifikasiya tələbi olmadan ixtiyari autentifikasiya olunmamış JSON məlumatlarını qəbul edir və onları Redis-də və `webhook_events` PostgreSQL cədvəlində saxlayır. Problemin kök səbəbi odur ki, `server.ts:188` sətirində `createWebhookRouter` funksiyası `validators` xəritəsi olmadan çağırılır, buna görə də `receivers.ts:80` sətirindəki opsional zəncirləmə mühafizəsi (optional-chaining guard) `undefined` olaraq qiymətləndirilir və imza doğrulama bloku (`receiver.ts:81–95`) şərtsiz şəkildə ötürülür. Valid server slug-ını bilən istənilən autentifikasiya olunmamış şəbəkə kliyenti ixtiyari faylları (payloads) daxil edə bilər və bu məlumatlar daha sonra legitim MCP kliyentlərinə etibarlı resurs vəziyyəti kimi təqdim edilir. 7f19b52280f414f57af2b79a95333d1c8fbeece5 commit-i problemi aradan qaldırır.