CVE-2026-64866
ŚrednieCVSS 5.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
W New API (bramka LLM i system zarządzania zasobami AI) od wersji 0.9.1.3 do 1.0.0-rc.7, funkcja AdminResetPasskey w controller/passkey.go nie sprawdza autoryzacji canManageTargetRole dla żądania DELETE /api/user/:id/reset_passkey, co pozwala administratorowi o niższych uprawnieniach na usunięcie klucza dostępu z konta o równych lub wyższych uprawnieniach, w tym z konta root.
Ocena ryzyka
Administrator o niższych uprawnieniach może przejąć kontrolę nad kontami o wyższych uprawnieniach, co może prowadzić do nieautoryzowanego dostępu do systemu.
Rekomendacja
Zaktualizuj New API do wersji 1.0.0-rc.7 lub nowszej, aby naprawić podatność.
Oryginalny opis (angielski, źródło NVD)
New API is a large language mode (LLM) gateway and artificial intelligence (AI) asset management system. From 0.9.1.3 until 1.0.0-rc.7, AdminResetPasskey in controller/passkey.go lacks the canManageTargetRole authorization check for DELETE /api/user/:id/reset_passkey, allowing a lower-privileged administrator to remove a passkey from a same-level or higher-privileged account, including a root account. This issue is fixed in version 1.0.0-rc.7.