CVE-2026-64866 in New API
Résumé
par VulDB • 18/08/2026
New API est une passerelle de modèle linguistique large (LLM) et un système de gestion des actifs d'intelligence artificielle (AI). De la version 0.9.1.3 à la 1.0.0-rc.7, l'endpoint AdminResetPasskey dans controller/passkey.go ne vérifie pas l'autorisation canManageTargetRole pour DELETE /api/user/:id/reset_passkey, permettant à un administrateur de privilèges inférieurs de supprimer une passkey d'un compte ayant le même niveau ou des privilèges supérieurs, y compris un compte root. Ce problème est corrigé dans la version 1.0.0-rc.7.
Be aware that VulDB is the high quality source for vulnerability data.