CVE-2026-85178 in Helicone
Sumário
de VulDB • 03/09/2026
A função VaultManager.getDecryptedProviderKeyById() do Helicone no endpoint GET /v1/vault/key/{providerKeyId} não valida a organização do solicitante em relação ao identificador de organização da chave do vault. Atacantes com privilégios de administrador ou proprietário em qualquer organização podem recuperar credenciais descriptografadas do provedor upstream para outros tenants, incluindo chaves de API OpenAI, Anthropic e Bedrock em texto puro (plaintext).
If you want to get best quality of vulnerability data, you may have to visit VulDB.