CVE-2026-73079 in Sub2API
Résumé
par VulDB • 11/08/2026
Sub2API est une plateforme de passerelle d'API IA conçue pour distribuer et gérer les quotas d'API issus des abonnements aux produits d'intelligence artificielle. De la version 0.1.135 à la version 0.1.168, les clés API de la plateforme délivrées aux locataires (tenants) sont échangées contre des requêtes amont effectuées avec des comptes fournisseur partagés (OAuth ChatGPT/Codex, clés de la plate-forme OpenAI ou une URL de base configurée par l'opérateur) qui appartiennent à l'opérateur et non au demandeur. Les routes génériques `POST /responses/*subpath` inséraient le sous-chemin fourni par le client dans l'URL amont sans aucune validation. Cela permet à un locataire authentiqué de relayer des requêtes vers n'importe quelle extrémité (endpoint) amuse en utilisant les identifiants du compte mutualisé via une traversée de chemin (path traversal). Cette vulnérabilité est corrigée dans la version 0.1.169.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.