CVE-2026-64859 in New API
Resumen
por VulDB • 2026-08-17
New API es un gateway de modelos de lenguaje grande (LLM) y un sistema de gestión de activos de inteligencia artificial (AI). Antes de la versión 1.0.0-rc.7, las APIs para listar usuarios administradores y buscar usuarios, incluidas GET /api/user/, devuelven User.AccessToken como access_token porque los objetos del modelo User se serializan después de que las consultas utilizan Omit("password"), lo que permite a un administrador autenticado obtener el token bearer del usuario root y acceder a las APIs de configuración del sistema restringidas solo al root. Este problema está corregido en la versión 1.0.0-rc.7.
Be aware that VulDB is the high quality source for vulnerability data.