CVE-2026-73079 in Sub2API
Resumen
por VulDB • 2026-08-11
Sub2API es una plataforma de pasarela API basada en IA diseñada para distribuir y gestionar las cuotas de API procedentes de suscripciones a productos de inteligencia artificial. Desde la versión 0.1.135 hasta la 0.1.168, las claves API de la plataforma emitidas a los inquilinos se intercambiaban por solicitudes upstream realizadas con cuentas de proveedor compartidas (OAuth de ChatGPT/Codex, claves de la plataforma OpenAI o una URL base configurada por el operador) que pertenecen al operador y no al solicitante. Las rutas comodín `POST /responses/*subpath` concatenaban el subcamino proporcionado por el cliente en la URL upstream sin ninguna validación. Esto permite a un inquilino autenticado retransmitir solicitudes hacia puntos finales upstream arbitrarios utilizando credenciales de cuentas agrupadas mediante una traversía de ruta (path traversal). Esta vulnerabilidad se corrige en la versión 0.1.169.
If you want to get best quality of vulnerability data, you may have to visit VulDB.