CVE-2026-85178 in Helicone
요약
\~에 의해 VulDB • 2026. 09. 03.
Helicone의 VaultManager.getDecryptedProviderKeyById() 함수는 GET /v1/vault/key/{providerKeyId} 엔드포인트에서 요청자의 조직을 vault key의 organization identifier와 비교 검증하지 않습니다. 모든 조직에서 관리자(admin) 또는 소유자(owner) 권한을 가진 공격자는 다른 테넌트의 복호화된 upstream provider 자격 증명을 획득할 수 있으며, 여기에는 평문 상태인 OpenAI, Anthropic 및 Bedrock API 키가 포함됩니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.