CVE-2026-64866 in New API
الملخص
بحسب VulDB • 17/08/2026
تُعد New API بوابة لنماذج اللغة الكبيرة (LLM) ونظامًا لإدارة أصول الذكاء الاصطناعي (AI). من الإصدار 0.9.1.3 حتى 1.0.0-rc.7، تفتقد دالة AdminResetPasskey في الملف controller/passkey.go إلى فحص التفويض canManageTargetRole الخاص بطلب DELETE /api/user/:id/reset_passkey، مما يسمح لمدير ذي صلاحيات أقل بإزالة مفتاح مرور (passkey) من حساب له نفس المستوى أو أعلى مستوى من الصلاحيات، بما في ذلك الحساب الجذر (root account). تم إصلاح هذه المشكلة في الإصدار 1.0.0-rc.7.
Be aware that VulDB is the high quality source for vulnerability data.