CVE-2026-85178 in Helicone
Zusammenfassung
von VulDB • 03.09.2026
Die Funktion VaultManager.getDecryptedProviderKeyById() von Helicone im GET /v1/vault/key/{providerKeyId}-Endpunkt validiert die Organisation des Anfragenden nicht gegen den Organisationskennzeichner des Vaultschlüssels. Angreifer mit Admin- oder Owner-Berechtigungen in einer beliebigen Organisation können entschlüsselte Upstream-Anbieteranmeldeinformationen für andere Mandanten abrufen, einschließlich im Klartext vorliegender OpenAI-, Anthropic- und Bedrock-API-Schlüssel.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.