Based on the provided image, here is the summary of the vulnerability information: 漏洞概述 漏洞标题: Unauthenticated notification API endpoints: financial abuse via phone number purchase, service disruption, and SMTP credential exposure (未认证的API端点导致金融滥用、服务中断及SMTP凭证泄露)。 漏洞描述: 多个API端点存在未认证漏洞，允许攻击者通过未授权访问执行恶意操作。这些端点通常用于向用户发送通知（如短信、WhatsApp、电子邮件）。攻击者利用这些漏洞可以购买电话号码、中断服务，甚至从公开状态API中窃取SMTP凭证。 根本原因: 攻击者可以通过向 注册新路由，绕过身份验证中间件。 攻击链: 1. 攻击者通过公开状态端点获取 。 2. 攻击者通过未认证端点创建新项目。 3. 攻击者使用新项目的 在电信API上购买电话号码。 4. 攻击者通过未认证端点删除项目。 5. 攻击者通过未认证端点从公开状态API中窃取SMTP凭证。 6. 攻击者利用窃取的凭证向受害者发送WhatsApp消息。 影响范围 金融滥用: 攻击者可以在未授权的情况下购买电话号码，导致每月30-90美元的费用。 服务中断: 删除项目会导致服务中断，影响所有绑定项目。 SMTP凭证泄露: 攻击者可以窃取用于群发邮件的SMTP凭证。 WhatsApp滥用: 攻击者可以利用窃取的凭证向受害者发送WhatsApp消息。 修复方案 在 端点中启用身份验证中间件。 在 端点中启用身份验证中间件。 从公开状态API响应中移除 。 从 端点的输出中移除 。 POC代码/利用代码 漏洞总结 漏洞概述 漏洞标题: Unauthenticated notification API endpoints: financial abuse via phone number purchase, service disruption, and SMTP credential exposure (未认证的API端点导致金融滥用、服务中断及SMTP凭证泄露)。 漏洞描述: 多个API端点存在未认证漏洞，允许攻击者通过未授权访问执行恶意操作。这些端点通常用于向用户发送通知（如短信、WhatsApp、电子邮件）。攻击者利用这些漏洞可以购买电话号码、中断服务，甚至从公开状态API中窃取SMTP凭证。 根本原因: 攻击者可以通过向 注册新路由，绕过身份验证中间件。 攻击链: 1. 攻击者通过公开状态端点获取 。 2. 攻击者通过未认证端点创建新项目。 3. 攻击者使用新项目的 在电信API上购买电话号码。 4. 攻击者通过未认证端点删除项目。 5. 攻击者通过未认证端点从公开状态API中窃取SMTP凭证。 6. 攻击者利用窃取的凭证向受害者发送WhatsApp消息。 影响范围 金融滥用: 攻击者可以在未授权的情况下购买电话号码，导致每月30-90美元的费用。 服务中断: 删除项目会导致服务中断，影响所有绑定项目。 SMTP凭证泄露: 攻击者可以窃取用于群发邮件的SMTP凭证。 WhatsApp滥用: 攻击者可以利用窃取的凭证向受害者发送WhatsApp消息。 修复方案 在 端点中启用身份验证中间件。 在 端点中启用身份验证中间件。 从公开状态API响应中移除 。 从 端点的输出中移除 。 POC代码/利用代码