CVE-2026-111682

ŚrednieCVSS 6.5

Opublikowano: 16/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 17/10/2026(UTC)NVD NIST

Streszczenie

EFAK 5.0.0 do 5.1.0 zawiera lukę braku autoryzacji, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach odczytywać klucze API dostawców LLM poprzez REST API /api/model-config. Atakujący z dowolnym kontem ROLE_USER mogą odpytywać /api/model-config/page lub /api/model-config/{id}, aby uzyskać niezamaskowane klucze, umożliwiając dostęp do kont dostawców i ponoszenie kosztów.

Ocena ryzyka

Luka umożliwia nieautoryzowany dostęp do kluczy API dostawców LLM, co może prowadzić do niekontrolowanych kosztów i nadużyć. Organizacja może ponieść straty finansowe i naruszyć umowy z dostawcami.

Rekomendacja

Należy zaktualizować EFAK do wersji nowszej niż 5.1.0 lub zastosować poprawkę producenta. Zaleca się również rotację wszystkich kluczy API dostawców LLM, które mogły zostać ujawnione.

Inne podatności w EFAK

CVE-2026-111681Wysokie
EFAK do wersji 5.1.0 zawiera lukę braku autoryzacji, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach zarządzać kontami, ponieważ endpointy /api/users nie mają kontroli roli administratora. Atakujący może wysyłać żądania POST, PUT lub DELETE do UserController, aby przyznać sobie ROLE_ADMIN, tworzyć administratorów lub usuwać użytkowników, przejmując kontrolę nad zarządzanymi klastrami Kafka.

Oryginalny opis (angielski, źródło NVD)

EFAK 5.0.0 through 5.1.0 contains a missing authorization vulnerability that allows authenticated low-privilege users to read LLM provider API keys through the /api/model-config REST API. Attackers with any ROLE_USER account can query /api/model-config/page or /api/model-config/{id} to retrieve unmasked keys, enabling provider account access and incurred costs.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS