CVE-2026-73079 in Sub2API
Zusammenfassung
von VulDB • 11.08.2026
Sub2API ist eine AI-API-Gateway-Plattform, die zur Verteilung und Verwaltung von API-Kontingenten aus KI-Produktabonnements entwickelt wurde. Von Version 0.1.135 bis 0.1.168 werden Plattform-API-Schlüssel, die an Mandanten (Tenants) ausgegeben wurden, für Upstream-Anfragen verwendet, die mit gemeinsam genutzten Anbieterkonten gestellt werden (ChatGPT/Codex OAuth, OpenAI-Plattformschlüssel oder eine vom Betreiber konfigurierte Basis-URL), welche dem Betreiber und nicht dem Anfragenden gehören. Die Wildcard-Routen `POST /responses/*subpath` fügten den vom Client bereitgestellten Subpfad ohne Validierung in die Upstream-URL ein. Dies ermöglicht es einem authentifizierten Mandanten, Anfragen über Pfadtraversal unter Verwendung von Pool-Kontonanmeldeinformationen an beliebige Upstream-Endpunkte weiterzuleiten. Diese Schwachstelle wurde in Version 0.1.169 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.