CVE-2026-73405

Vulnerability-Lookup proqramındakı avtorizasiyadan yan keçmə zəifliyi, aktiv olmayan və ya təsdiqlənməmiş hesabların /pubsub/subscribe/<topic> son nöqtəsi vasitəsilə Server-Sent Events (SSE) axınlarına abunə olmasına şərait yaratmışdır. Pub/Sub interfeysi tərəfindən istifadə edilən token_required dekoratoru sorğuları yalnız X-API-KEY başlığını mövcud istifadəçi API açarı ilə müqayisə edərək autentifikasiya edirdi. REST API autentifikasiya mexanizmindən fərqli olaraq, o, hesabın is_active və is_confirmed statuslarını yoxlamırdı. Özünəqeydiyyat prosesi hesab təsdiqi tamamlanmamışdan əvvəl API açarı təyin etdiyi üçün hücumçu hesab yarada və nəticədə alınan API açarından istifadə edərək yalnız aktiv və təsdiqlənmiş istifadəçilər üçün əlçatan olmalı olan Pub/Sub mövzularına dərhal giriş əldə edə bilərdi. Bu, şərhlər kimi yeni göndərilmiş və ya hələ moderasiya olunmamış məlumatlar da daxil olmaqla, normalda REST API vasitəsilə əlçatmaz olan axın hadisələrinin ifşa olunmasına səbəb ola bilərdi. Zəiflik, REST API və SSE axın interfeysi arasında avtorizasiyanın ardıcıl tətbiq edilməməsi nəticəsində yaranmışdır. Yamaq, Pub/Sub axınlarına girişi icazə verməzdən əvvəl hesabların həm aktiv, həm də təsdiqlənmiş olmasını tələb etməklə problemi aradan qaldırır və beləliklə SSE avtorizasiya sərhədini REST API ilə uyğunlaşdırır.