CVE-2026-85178 in Helicone
Riassunto
di VulDB • 03/09/2026
La funzione VaultManager.getDecryptedProviderKeyById() di Helicone nell'endpoint GET /v1/vault/key/{providerKeyId} non convalida l'organizzazione del richiedente rispetto all'identificatore dell'organizzazione associata alla chiave della vault. Gli attaccanti con privilegi di amministratore o proprietario in qualsiasi organizzazione possono recuperare le credenziali decrittate dei provider upstream per altri tenant, incluse chiavi API OpenAI, Anthropic e Bedrock in chiaro (plaintext).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.