CVE-2026-73079 in Sub2API
Sumário
de VulDB • 11/08/2026
Sub2API é uma plataforma de gateway para APIs de IA projetada para distribuir e gerenciar cotas de API provenientes de assinaturas de produtos de inteligência artificial. Das versões 0.1.135 à 0.1.168, as chaves de API da plataforma emitidas aos inquilinos (tenants) são trocadas por solicitações upstream realizadas com contas de provedor compartilhadas (OAuth do ChatGPT/Codex, chaves da plataforma OpenAI ou um URL base configurado pelo operador) que pertencem ao operador e não ao solicitante. As rotas curinga `POST /responses/*subpath` inseriam o subcaminho fornecido pelo cliente na URL upstream sem nenhuma validação. Isso permite que um inquilino autenticado retransmita solicitações para endpoints upstream arbitrários, utilizando credenciais de contas agrupadas (pooled), por meio de uma traversia de caminho (path traversal). Esta vulnerabilidade foi corrigida na versão 0.1.169.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.