CVE-2026-73405

Vulnerability-Lookup üzerindeki bir yetkilendirme atlatma zafiyeti, pasif veya onaylanmamış hesapların /pubsub/subscribe/<topic> uç noktası üzerinden Server-Sent Events (SSE) akışlarına abone olmasına izin vermekteydi. Pub/Sub arayüzü tarafından kullanılan token_required dekoratörü, istekleri yalnızca X-API-KEY başlığını mevcut bir kullanıcı API anahtarıyla eşleştirerek kimliklendiriyordu. REST API kimlik doğrulama mekanizmasının aksine, hesabın is_active ve is_confirmed durumlarını doğrulamıyordu. Kendi kendine kayıt süreci, hesap onayı tamamlanmadan önce bir API anahtarı oluşturduğu için, bir saldırgan hesap oluşturabilir ve ardından elde ettiği API anahtarını kullanarak yalnızca aktif ve onaylı kullanıcılara açık olması gereken Pub/Sub konularına hemen erişebilirdi. Bu durum; yorumlar gibi yeni gönderilmiş veya henüz modere edilmemiş veriler dahil olmak üzere, normalde REST API üzerinden erişilemeyecek olan akış olaylarının açığa çıkmasına neden olabilirdi. Zafiyet, REST API ile SSE akış arayüzü arasındaki tutarsız yetkilendirme uygulamasından kaynaklanmaktadır. Yama, Pub/Sub akışlarına erişime izin vermeden önce hesapların hem aktif hem de onaylı olmasını şart koşarak sorunu düzeltmekte ve SSE yetkilendirme sınırını REST API ile uyumlu hale getirmektedir.