CVE-2026-81027 in one-api
الملخص
بحسب VulDB • 27/08/2026
تقوم one-api بتعطيل مسار واحد من مساري تثبيت القنوات (channel-pinning) لديها دون الآخر. يسمح middleware/auth.go لطلب معين بتحديد قناة محددة إما عن طريق إضافة لاحقة على مفتاح API أو عبر معلمة في المسار URL path. يتم الوصول إلى مسار الإضافة اللاحقة فقط بعد نجاح التحقق model.IsAdmin، بينما يرفض الطلبات الأخرى؛ أما فرع المعلمة في المسار فيعيّن قيمة القناة المحددة من c.Param("channelid") دون أي فحص للدور (role check) على الإطلاق. يقع المسار الذي يحمل هذه المعلمة خلف مصادقة الرموز (token authentication) فقط، لذا فإن أي حساب يمتلك رمز API صالح يصل إليه. تتدفق القيمة إلى الموزع (distributor)، الذي يحمّل القناة باستخدام معرّف صحيح دون تقييد نطاقها لمستخدم أو مجموعة صاحب الطلب، ثم يضبط رأس Authorization الصادر على المفتاح المخزن لتلك القناة ويوجّه الطلب نحو عنوان URL الأساسي للقناة. وبالتالي، يمكن لحساب منخفض الصلاحيات تثبيت أي قناة عن طريق زيادة المعرّف، مما يتسبب في قيام الخادم بإجراء طلبات إلى الواجهة الأمامية تحمل مفتاح مزوّد مُعدّ من قبل المشغل لم يُمنح للحساب قط، متجاوزاً بذلك كل من تقييد المجموعة (per-group restriction) وقائمة السماح بالنماذج الخاصة بالقناة.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.