CVE-2026-81027

one-api, iki kanal sabitleme yolundan birini kısıtlarken diğerini kısıtlamamaktadır. middleware/auth.go, bir isteğin belirli bir kanalı ya API anahtarı üzerindeki bir sonek aracılığıyla ya da bir URL yol parametresi aracılığıyla adlandırmasına izin verir. Sonek yolu yalnızca model.IsAdmin başarılı olduktan sonra erişilebilir durumdadır ve aksi takdirde çağrıyı reddeder; ancak yol parametresi dalı, herhangi bir rol kontrolü yapmaksızın selected-channel değerini c.Param("channelid") üzerinden ayarlar. Bu parametreyi taşıyan rota yalnızca token kimlik doğrulaması arkasında yer alır, dolayısıyla geçerli bir API token'ına sahip olan her hesap buraya erişebilir. Değer, kanalı çağıran kullanıcının veya grubun kapsamıyla sınırlandırmaksızın tam sayı tanımlayıcı ile yükleyen distribütöre akar ve ardından giden Authorization başlığını o kanalın kayıtlı anahtarına ayarlayarak isteği kanalın temel URL'sine yönlendirir. Bu nedenle, düşük yetkili bir hesap, bir tanımlayıcıyı artırarak herhangi bir kanalı sabitleyebilir; bu durum sunucunun, hesabın hiçbir zaman yetkilendirilmediği operatör tarafından yapılandırılmış bir sağlayıcı anahtarını taşıyan üst akış istekleri yapmasına neden olur ve hem grup başına kısıtlamayı hem de kanalın model izin listesini atlatır.