CVE-2026-9371

ŚrednieCVSS 5.6

Opublikowano: 24/05/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.44%

Percentyl 36 - wyżej niż 36% wszystkich znanych CVE

Streszczenie

W komponencie API Vane do wersji 1.12.1 wykryto brak uwierzytelniania w pliku route.ts. Atak może być przeprowadzony zdalnie, ale jest trudny do wykonania. Exploit został ujawniony publicznie.

Ocena ryzyka

Brak uwierzytelniania może pozwolić nieautoryzowanym użytkownikom na dostęp do wrażliwych funkcji API, co może prowadzić do wycieku danych lub nieautoryzowanych działań.

Rekomendacja

Zaleca się natychmiastową aktualizację do najnowszej wersji Vane oraz wdrożenie mechanizmów uwierzytelniania dla wszystkich endpointów API.

Inne podatności w Vane

CVE-2026-9372Wysokie
W ItzCrazyKns Vane do wersji 1.12.1 stwierdzono podatność na fałszowanie żądań po stronie serwera (SSRF) w pliku src/app/api/providers/route.ts komponentu Model Provider API. Manipulacja argumentem baseURL umożliwia zdalne wykonanie ataku.

Oryginalny opis (angielski, źródło NVD)

A security vulnerability has been detected in ItzCrazyKns Vane up to 1.12.1. Affected by this issue is some unknown functionality of the file route.ts of the component API. The manipulation leads to missing authentication. The attack may be initiated remotely. The attack's complexity is rated as high. The exploitation is known to be difficult. The exploit has been disclosed publicly and may be used. It appears that basic authentication is planned.