CVE-2026-73264
WysokieCVSS 7.6Streszczenie
Prowler przed wersją 5.33.1 umożliwia uwierzytelnionemu użytkownikowi z dostępem do konfiguracji dostawcy Lighthouse podanie niezweryfikowanego base_url dla dostawcy openai_compatible przez POST /api/v1/lighthouse/providers i POST /api/v1/lighthouse/providers/{id}/connection. Powoduje to wysyłanie żądań wychodzących, w tym klucza API w nagłówku Authorization, do kontrolowanych przez atakującego lub wewnętrznych punktów końcowych podczas wywołania client.models.list.
Ocena ryzyka
Może dojść do wycieku kluczy API do nieautoryzowanych serwerów lub ataku na wewnętrzne zasoby, co narusza poufność i integralność systemu.
Rekomendacja
Zaleca się aktualizację Prowler do wersji 5.33.1 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
Prowler is a cloud security platform. Prior to 5.33.1, an authenticated user with Lighthouse provider configuration access could supply an unvalidated base_url for the openai_compatible provider through POST /api/v1/lighthouse/providers and POST /api/v1/lighthouse/providers/{id}/connection, causing api/src/backend/tasks/jobs/lighthouse_providers.py to send outbound requests, including the API key in the Authorization header, to attacker-controlled or internal endpoints when client.models.list was called. This issue is fixed in version 5.33.1.