CVE-2026-28767: Autenticazione mancante sull'endpoint di notifiche amministrative

Avviso

Prodotto

Sintesi

L'endpoint amministrativo /api/admin/notifications è accessibile senza autenticazione, esponendo i dati interni del sistema di notifiche e le comunicazioni amministrative a utenti non autenticati.

Dettagli della vulnerabilità

Accesso non autenticato

L'endpoint di notifiche amministrative è accessibile pubblicamente senza alcun controllo di autenticazione o autorizzazione:

GET [REDACTED — Cloud API host]/api/admin/notifications
Authentication: NONE

Dati esposti

L'endpoint non autenticato fornisce accesso a:

• Dati interni del sistema di notifiche e modelli di messaggi
• Comunicazioni amministrative e avvisi di sistema
• Configurazioni delle notifiche push e stato di consegna
• Preferenze di notifica degli utenti e dati di targeting

Pattern sistemico

Questo endpoint fa parte di un pattern più ampio di autenticazione mancante sul percorso /api/admin/* di Gardyn. Sia /api/admin/devices (CVE-2026-32646) che /api/admin/notifications mancano di autenticazione, suggerendo che l'intero namespace API amministrativo possa essere stato distribuito senza controlli di accesso.

Impatto

• Divulgazione di informazioni relative alle comunicazioni amministrative interne
• Visibilità sui processi operativi e sugli eventi di sistema
• Esposizione dei modelli di notifica e dei dati di targeting
• Valore ricognitivo per identificare il comportamento del sistema, i modelli di coinvolgimento degli utenti e i flussi di lavoro amministrativi
• Potenziale di iniezione o modifica delle notifiche se le operazioni di scrittura vengono esposte

Servizi standard disponibili per questa classe di endpoint

Rimedi

Gardyn consiglia di aggiornare a Cloud API versione 2.12.2026 o successiva. Consultare https://mygardyn.com/security/ per ulteriori informazioni.

Correzione consigliata per il produttore:

1. Richiedere l'autenticazione amministrativa su tutti gli endpoint /api/admin/*
2. Implementare il controllo degli accessi basato sui ruoli per le operazioni amministrative
3. Verificare tutti gli endpoint sotto il percorso /api/admin/ per autenticazione mancante
4. Posizionare gli endpoint amministrativi dietro un percorso separato con controllo degli accessi
5. Esaminare i log di accesso per rilevare accessi non autorizzati agli endpoint amministrativi

Cronologia

Riferimenti

• CVE-2026-28767 -- Record CVE
• ICSA-26-055-03
• CWE-306: Autenticazione mancante per funzione critica

Crediti

Segnalato da Michael Groberman — Gr0m a CISA.