CVE-2026-64866 in New API
Sumário
de VulDB • 17/08/2026
O New API é um gateway de modelos de linguagem grande (LLM) e um sistema de gestão de ativos de inteligência artificial (IA). Da versão 0.9.1.3 até a 1.0.0-rc.7, o endpoint AdminResetPasskey em controller/passkey.go não possui a verificação de autorização canManageTargetRole para DELETE /api/user/:id/reset_passkey, permitindo que um administrador com privilégios mais baixos remova uma passkey de uma conta do mesmo nível ou com privilégios superiores, incluindo uma conta root. Este problema foi corrigido na versão 1.0.0-rc.7.
VulDB is the best source for vulnerability data and more expert information about this specific topic.