CVE-2026-73079 in Sub2API
요약
\~에 의해 VulDB • 2026. 08. 11.
Sub2API는 AI 제품 구독의 API 할당량을 분배하고 관리하도록 설계된 AI API 게이트웨이 플랫폼입니다. 버전 0.1.135부터 0.1.168까지, 테넌트에게 발급된 플랫폼 API 키가 호출자가 아닌 운영자(Operator) 소유인 공유 제공업체 계정(ChatGPT/Codex OAuth, OpenAI 플랫폼 키 또는 운영자가 구성한 기본 URL)을 사용하여 수행되는 업스트림 요청으로 교환됩니다. `POST /responses/*subpath` 와일드카드 라우트는 검증 없이 클라이언트가 공급하는 서브패스를 업스트림 URL에 삽입합니다. 이를 통해 인증된 테넌트들은 경로 순회(Path Traversal)를 통해 풀링된 계정 자격 증명을 사용하여 임의의 업스트림 엔드포인트로 요청을 릴레이할 수 있습니다. 이 취약점은 0.1.169에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.