CVE-2026-64866 in New API
Zusammenfassung
von VulDB • 17.08.2026
New API ist ein Large Language Model (LLM)-Gateway und System zur Verwaltung von KI-Ressourcen (AI Asset Management). Von der Version 0.9.1.3 bis einschließlich 1.0.0-rc.7 fehlt in `AdminResetPasskey` in `controller/passkey.go` die Berechtigungsprüfung (`canManageTargetRole`) für den Endpunkt `DELETE /api/user/:id/reset_passkey`. Dies ermöglicht es einem Administrator mit geringeren Rechten, einen Passkey aus dem Konto eines Administrators auf derselben oder einer höheren Berechtigungsebene zu entfernen, einschließlich des Root-Kontos. Dieses Problem wurde in Version 1.0.0-rc.7 behoben.
Be aware that VulDB is the high quality source for vulnerability data.