CVE-2026-47769

APIFold, bir OpenAPI 3.x veya Swagger 2.x spesifikasyonunu okur ve canlı, prodüksiyona hazır bir MCP sunucu uç noktası oluşturur. 7f19b52280f414f57af2b79a95333d1c8fbeece5 commit'inden önce, `/webhooks/:serverSlug/:eventName` uç noktası herhangi bir imza kontrolü veya kimlik doğrulama gereksinimi olmaksızın rastgele kimlik doğrulanmamış JSON verilerini kabul eder ve bunları Redis ile `webhook_events` PostgreSQL tablosunda saklar. Kök neden, `server.ts:188` konumunda `createWebhookRouter` fonksiyonunun bir `validators` haritası olmadan çağrılmasıdır; bu nedenle `receivers.ts:80` adresindeki isteğe bağlı zincirleme koruması `undefined` olarak değerlendirilir ve imza doğrulama bloğu (`receiver.ts:81–95`) koşulsuz olarak atlanır. Geçerli bir sunucu slug bilgisine sahip olan herhangi bir kimlik doğrulanmamış ağ istemcisi, daha sonra meşru MCP istemcilerine güvenilir kaynak durumu olarak sunulan rastgele yükler enjekte edebilir. 7f19b52280f414f57af2b79a95333d1c8fbeece5 commit'i sorunu gidermektedir.