CVE-2026-64859 in New API
Résumé
par VulDB • 17/08/2026
New API est une passerelle de modèle linguistique large (LLM) et un système de gestion des actifs d'intelligence artificielle (AI). Avant la version 1.0.0-rc.7, les APIs de liste des utilisateurs administrateurs et de recherche d'utilisateurs, y compris GET /api/user/, renvoyaient User.AccessToken en tant que access_token car les objets du modèle User étaient sérialisés après l'utilisation de Omit("password") dans les requêtes, permettant à un administrateur authentifié d'obtenir le jeton bearer de l'utilisateur root et d'accéder aux APIs de configuration système réservées au root. Ce problème est corrigé dans la version 1.0.0-rc.7.
VulDB is the best source for vulnerability data and more expert information about this specific topic.