pytonapi é um SDK Python para TONAPI que fornece API REST, streaming e acesso webhook ao blockchain TON. De 2.0.0 para 2.2.0, o TonapiWebhookDispatcher não valida o cabeçalho da Autorização quando um manipulador do webhook está registrado com o argumento do caminho documentado, porque setup() armazena os tokens do portador apenas sob os caminhos do sufixo padrão e nunca adiciona o caminho personalizado ao mapa do token, então self._tokens.get(path) devolve nenhum e a guarda de autenticação é ignorada. Um atacante remoto não autenticado pode POST forjado cargas úteis para o endpoint personalizado do webhook e desencadear manipuladores definidos pela vítima. Este problema é corrigido na versão 2.2.1. O registro do banco de dados nacional de vulnerabilidade CVE- 2026 - 54635 foi publicado em 2026 - 07 - 28 T 18: 17: 22.427 Z e última modificação em 2026 - 08 - 11 T 23: 17: 30.613 Z. O seu estado gravado é Diferido.
métricas de vulnerabilidade gravadas: CVSS 3.1, pontuação de base 7.5, gravidade HIGH, vetor CVSS: 3.1 /AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N, pontuação de exploração 3.9, pontuação de impacto 3.6; CVSS. Classificações de fraqueza associadas: CWE- 287.
O registro NVD inclui referências de suporte documentando a vulnerabilidade, tecnologia afetada ou informações de remediação.