CVE-2026-101004: отсутствие аутентификации в cleanCache NotionNext

В популярном open-source проекте NotionNext, использующемся для построения сайтов на базе Notion, выявлена уязвимость, связанная с недостатками аутентификации в обработчике API. Проблема получила идентификатор CVE-2026-101004 и затрагивает компонент Authentication Guard.

Подробности

Уязвимость затрагивает notionnext-org NotionNext вплоть до версии 4.10.10. Проблема локализована в функции cleanCache файла pages/api/cache.js компонента Authentication Guard. Манипулируя аргументом token, атакующий может обойти проверку подлинности и вызвать функцию без надлежащей аутентификации. Атака может быть проведена удалённо. Согласно описанию, эксплуатация имеет особенности в зависимости от версии продукта:

• Версии 4.1.0 – 4.9.5.2 позволяют эксплуатировать уязвимость без аутентификации из-за отсутствия проверки метода запроса.
• В версиях 4.9.5.7 – 4.10.10 защитная проверка присутствует, но применяется только при условии, что задана переменная окружения CACHE_REVALIDATION_TOKEN. Таким образом, развёртывания по умолчанию остаются незащищёнными.

Уязвимости присвоена оценка CVSS 6.9 (MEDIUM). Производитель был заблаговременно уведомлён о раскрытии информации, однако не ответил на обращение, поэтому официальный патч на момент публикации записи может отсутствовать.

Что делать

Поскольку вендор не предоставил исправление, рекомендуется принять компенсирующие меры:

• Ограничить доступ к эндпоинту pages/api/cache.js на уровне reverse-proxy, WAF или правил маршрутизации, разрешив обращения только из доверенных источников.
• Обязательно задать переменную окружения CACHE_REVALIDATION_TOKEN — это активирует существующую проверку в версиях 4.9.5.7 – 4.10.10.
• Для версий 4.1.0 – 4.9.5.2, где проверка метода отсутствует, рассмотреть переход на более новые релизы либо ручное добавление проверки метода и токена в код.
• Провести аудит журналов обращений к API на предмет подозрительных вызовов cleanCache и при необходимости ротировать связанные секреты.
• Следить за обновлениями проекта и оперативно применять патч, когда он появится.

Итог

CVE-2026-101004 — умеренно опасная уязвимость отсутствия аутентификации в NotionNext, которая особенно критична для стандартных развёртываний без заданного CACHE_REVALIDATION_TOKEN. До выпуска официального исправления безопасность эндпоинта cache.js следует обеспечивать внешними средствами защиты и корректной конфигурацией окружения.

Источник: CVE Project (cvelistV5)