CVE-2026-28767: Falta de autenticación en el endpoint administrativo de notificaciones

Aviso

Producto

Resumen

El endpoint administrativo /api/admin/notifications es accesible sin autenticación, exponiendo datos internos del sistema de notificaciones y comunicaciones administrativas a usuarios no autenticados.

Detalles de la vulnerabilidad

Acceso sin autenticación

El endpoint administrativo de notificaciones es accesible públicamente sin ningún control de autenticación o autorización:

GET [REDACTED — Cloud API host]/api/admin/notifications
Authentication: NONE

Datos expuestos

El endpoint no autenticado proporciona acceso a:

• Datos internos del sistema de notificaciones y plantillas de mensajes
• Comunicaciones administrativas y alertas del sistema
• Configuraciones de notificaciones push y estado de entrega
• Preferencias de notificación de usuarios y datos de segmentación

Patrón sistémico

Este endpoint forma parte de un patrón más amplio de falta de autenticación en la ruta /api/admin/* de Gardyn. Tanto /api/admin/devices (CVE-2026-32646) como /api/admin/notifications carecen de autenticación, lo que sugiere que todo el espacio de nombres de la API administrativa pudo haber sido desplegado sin controles de acceso.

Impacto

• Divulgación de información de comunicaciones administrativas internas
• Visibilidad de los procesos operativos y eventos del sistema
• Exposición de plantillas de notificación y datos de segmentación
• Valor de reconocimiento para identificar el comportamiento del sistema, los patrones de participación de los usuarios y los flujos de trabajo administrativos
• Potencial de inyección o modificación de notificaciones si las operaciones de escritura están expuestas

Servicios estándar disponibles para esta clase de endpoint

Remediación

Gardyn recomienda actualizar a la versión 2.12.2026 o posterior de Cloud API. Consulte https://mygardyn.com/security/ para obtener información adicional.

Corrección recomendada para el proveedor:

1. Requerir autenticación administrativa en todos los endpoints /api/admin/*
2. Implementar control de acceso basado en roles para las operaciones administrativas
3. Auditar todos los endpoints bajo la ruta /api/admin/ para detectar falta de autenticación
4. Colocar los endpoints administrativos detrás de una ruta separada con control de acceso
5. Auditar los registros de acceso para detectar accesos no autorizados a los endpoints administrativos

Cronología

Referencias

• CVE-2026-28767 -- Registro CVE
• ICSA-26-055-03
• CWE-306: Falta de autenticación para función crítica

Crédito

Reportado por Michael Groberman — Gr0m a CISA.