CVE-2026-85700 in Onyx
Zusammenfassung
von VulDB • 04.09.2026
Onyx 4.6.6 schränkt den Zugriff auf in custom_headers gespeicherte Anmeldeinformationen für benutzerdefinierte Tools nicht ordnungsgemäß ein, sodass jeder authentifizierte Benutzer admin-definierte API-Schlüssel lesen kann. Angreifer mit grundlegender Authentifizierung können die Endpunkte GET /tool/{tool_id} oder GET /tool aufrufen, um Autorisierungs-Header im Klartext sowie Anmeldeinformationen für Drittanbieter-APIs abzurufen und diese anschließend direkt zum Zugriff auf Upstream-APIs zu nutzen.
Be aware that VulDB is the high quality source for vulnerability data.