CVE-2026-119705

SerpBear before 3.1.1 Missing Authentication via POST /api/notify

CVSS 3.1Medium

6.9/ 10.0

Опубликовано

30 октября 2026 г.

Обновлено

30 октября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН

Обновить SerpBear до версии 3.1.1 или новее, где маршрут /api/notify закрыт обязательной проверкой аутентификации.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

В приложении SerpBear до версии 3.1.1 отсутствует аутентификация на эндпоинте POST /api/notify. Неавторизованный пользователь может отправлять произвольные уведомления.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Обработчик маршрута POST /api/notify не содержит проверок сессии или API-ключей, допуская прямые анонимные запросы.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Спам через внешние каналы оповещений, раскрытие внутренних метаданных и подделка системных сообщений.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

Точные диапазоны версий не зафиксированы в источниках

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (6)

github.comhttps://github.com/towfiqi/serpbear/issues/359
github.comhttps://github.com/towfiqi/serpbear
github.comhttps://github.com/towfiqi/serpbear/commit/12dc0a4bd91f06de2dab96f797c495942f7ef8c9
github.comhttps://github.com/towfiqi/serpbear/blob/v3.1.0/pages/api/notify.ts#L16-L21
github.comhttps://github.com/towfiqi/serpbear/releases/tag/v3.1.1
www.vulncheck.comhttps://www.vulncheck.com/advisories/serpbear-before-3.1.1-missing-authentication-via-post-api-notify

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-119705: SerpBear before 3.1.1 Missing Authentication via POST /api/notify. URL: https://cve.futuretools.ru/cve/CVE-2026-119705

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_119705,
  title = {{CVE-2026-119705: SerpBear before 3.1.1 Missing Authentication via POST /api/notify}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-119705}},
  note = {Оперативный инженерный анализ киберугроз}
}