CVE-2026-73079
Təsvir
Sub2API, süni intellekt məhsul abunəliklərindən gələn API kvotalarını paylamaq və idarə etmək üçün nəzərdə tutulmuş bir AI API şlüzü platformasıdır. 0.1.135 versiyasından 0.1.168 versiyasına qədər olan versiyalarda, kirayəçilərə verilmiş platforma API açarları, çağırana deyil, operatora məxsus olan ortaq təminatçı hesabları (ChatGPT/Codex OAuth, OpenAI platform açarları və ya operator tərəfindən konfiqurasiya edilmiş baza URL-i) ilə edilən yuxarı axın (upstream) sorğuları ilə əvəzlənir. `POST /responses/*subpath` wildcard marşrutları, müştəri tərəfindən təqdim edilən alt yolu heç bir doğrulama olmadan yuxarı axın URL-nə daxil edirdi. Bu, autentifikasiya olunmuş kirayəçinin yol keçidi (path traversal) vasitəsilə hovuzlaşdırılmış hesab etibarlılıqlarından istifadə edərək ixtiyari yuxarı axın son nöqtələrinə sorğular ötürməsinə imkan verir. Bu zəiflik 0.1.169 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Wei-Shaw sub2api | >= 0.1.135, <0.1.169 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.