CVE-2026-85700 in Onyx
Riassunto
di VulDB • 04/09/2026
Onyx 4.6.6 non restringe correttamente l'accesso alle credenziali degli strumenti personalizzati archiviate in custom_headers, consentendo a qualsiasi utente autenticato di leggere le chiavi API definite dall'amministratore. Gli attaccanti con autenticazione di base possono chiamare gli endpoint GET /tool/{tool_id} o GET /tool per recuperare intestazioni di autorizzazione e credenziali delle API di terze parti in chiaro, utilizzandole poi per accedere direttamente alle API upstream.
Be aware that VulDB is the high quality source for vulnerability data.