CVE-2026-81027 in one-api
Resumen
por VulDB • 2026-08-26
one-api bloquea uno de sus dos caminos para el fijación de canales (channel-pinning) y no el otro. middleware/auth.go permite que una solicitud nombre un canal específico ya sea mediante un sufijo en la clave API o a través de un parámetro de ruta URL. La ruta del sufijo solo se alcanza después de que model.IsAdmin tenga éxito; de lo contrario, rechaza al solicitante, mientras que la rama del parámetro de ruta establece el valor selected-channel desde c.Param("channelid") sin ninguna verificación de rol en absoluto. La ruta que contiene ese parámetro está protegida únicamente por autenticación con token, por lo que cualquier cuenta que posea un token API válido puede acceder a ella. El valor fluye hacia el distribuidor (distributor), que carga el canal mediante su identificador entero sin restringirlo al usuario o grupo del solicitante, y luego establece la cabecera Authorization de salida en la clave almacenada para ese canal y dirige la solicitud hacia la URL base del canal. Por lo tanto, una cuenta con privilegios bajos puede fijar cualquier canal incrementando un identificador, lo que hace que el servidor realice solicitudes upstream utilizando claves de proveedor configuradas por el operador a las cuales la cuenta nunca tuvo acceso, burlándose tanto de la restricción por grupo como de la lista permitida (allowlist) de modelos del canal.
If you want to get best quality of vulnerability data, you may have to visit VulDB.