CVE-2026-82270

WysokieCVSS 7.5

Opublikowano: 28/08/2026(UTC)Zaktualizowano: 24/09/2026(UTC)Przetłumaczono: 29/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.48%

Percentyl 39 - wyżej niż 39% wszystkich znanych CVE

Streszczenie

Portkey AI Gateway do wersji 1.15.2 zawiera podatność na podrabianie żądań po stronie serwera (SSRF) w trasie /v1/proxy/*, która nie korzysta z oprogramowania pośredniczącego requestValidator. Atakujący może ustawić nagłówek x-portkey-custom-host na adresy wewnętrzne i przekazywać żądania z nagłówkami Authorization, aby uzyskać dostęp do wewnętrznych usług i wykraść klucze API dostawcy.

Ocena ryzyka

Ryzyko obejmuje nieautoryzowany dostęp do wewnętrznych zasobów sieciowych oraz wyciek wrażliwych kluczy API, co może prowadzić do naruszenia bezpieczeństwa danych i usług.

Rekomendacja

Zaleca się natychmiastową aktualizację Portkey AI Gateway do najnowszej wersji, która zawiera poprawkę, oraz wdrożenie walidacji żądań proxy, aby blokować dostęp do adresów wewnętrznych.

Inne podatności w Portkey AI Gateway

CVE-2026-110719Wysokie
Portkey AI Gateway w wersjach od 1.14.0 do 1.15.2 zawiera podatność typu server-side request forgery (SSRF), która pozwala nieuwierzytelnionym atakującym na dostęp do usług loopback i hosta Docker, ponieważ isValidCustomHost ufa hostom w stylu localhost, gdy TRUSTED_CUSTOM_HOSTS nie jest ustawione. Atakujący mogą wysyłać żądania /v1 ze spreparowanym nagłówkiem x-portkey-custom-host, na przykład przez dostawcę ollama, aby zmusić bramę do wywołania usług wewnętrznych i zwrócenia ich odpowiedzi.

Oryginalny opis (angielski, źródło NVD)

Portkey AI Gateway through 1.15.2 contains a server-side request forgery vulnerability in the /v1/proxy/* route that lacks requestValidator middleware. Attackers can set the x-portkey-custom-host header to internal addresses and forward requests with Authorization headers to reach internal services and exfiltrate provider API keys.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS