CVE-2026-110209
ŚrednieCVSS 6.5Streszczenie
Stonewuu ai-fusion-video do wersji 1.2.0 zawiera podatność na brak autoryzacji, która pozwala uwierzytelnionym użytkownikom niebędącym administratorami odczytywać przechowywane sekrety przez niechronione endpointy ApiConfigController i SystemConfigController. Atakujący mogą zapytać endpointy api-config get/list oraz system config, aby uzyskać klucze API dostawców AI, hasła proxy i mail_password, co umożliwia nadużycia rozliczeniowe i wysyłanie maili jako platforma.
Ocena ryzyka
Ryzyko obejmuje kradzież kluczy API i haseł, co może prowadzić do nieautoryzowanych wydatków, wysyłania phishingowych wiadomości i naruszenia bezpieczeństwa platformy.
Rekomendacja
Zaleca się natychmiastowe zabezpieczenie endpointów konfiguracyjnych i wymaganie uprawnień administratora do odczytu sekretów.
Inne podatności w Stonewuu ai-fusion-video
Zobacz wszystkie- CVE-2026-110213Średnie
Stonewuu ai-fusion-video do wersji 1.2.0 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR), która pozwala uwierzytelnionym użytkownikom odczytywać wyniki generowania innych użytkowników poprzez podanie dowolnych identyfikatorów zadań. Atakujący mogą enumerować automatycznie inkrementowane identyfikatory zadań na endpointach /items dla obrazów i wideo, uzyskując dostęp do wygenerowanych obrazów, filmów i metadanych innych użytkowników.
- CVE-2026-110212Średnie
Stonewuu ai-fusion-video do wersji 1.2.0 zawiera podatność na path traversal, która pozwala uwierzytelnionym użytkownikom zapisywać przesłane pliki poza katalogiem mediów poprzez parametr subDir w POST /api/storage/upload. Atakujący mogą podać sekwencje katalogów nadrzędnych, które LocalStorageStrategy.storeBytes nie normalizuje, tworząc katalogi i zapisując pliki o wybranych rozszerzeniach w dowolnym miejscu, gdzie konto usługi ma uprawnienia do zapisu.
Oryginalny opis (angielski, źródło NVD)
Stonewuu ai-fusion-video through 1.2.0 contains a missing authorization vulnerability that allows authenticated non-admin users to read stored secrets through unprotected ApiConfigController and SystemConfigController endpoints. Attackers can query the api-config get/list and system config endpoints to obtain AI provider API keys, proxy passwords and mail_password, enabling billing abuse and sending mail as the platform.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS