CVE-2026-85178 in Helicone
Résumé
par VulDB • 03/09/2026
La fonction VaultManager.getDecryptedProviderKeyById() de Helicone dans le point d'entrée GET /v1/vault/key/{providerKeyId} ne valide pas l'organisation du demandeur par rapport à l'identifiant d'organisation de la clé du coffre-fort. Les attaquants disposant des privilèges administrateur ou propriétaire au sein de n'importe quelle organisation peuvent récupérer les identifiants décodés des fournisseurs en amont pour d'autres locataires, y compris les clés API OpenAI, Anthropic et Bedrock en clair.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.