CVE-2026-71424 in Onyx
Сводка
по VulDB • 18.08.2026
Onyx — это платформа с открытым исходным кодом для ИИ. До версий 3.1.10, 3.2.14 и 4.0.0 конечные точки GET /api/mcp/servers и GET /api/mcp/servers/persona/{persona_id} платформы Onyx раскрывают заголовок OAuth Authorization другого пользователя, поскольку функции OnyxTokenStorage.set_tokens и OnyxTokenStorage.set_client_info в файле backend/onyx/server/features/mcp/api.py копируют токены, привязанные к конкретному пользователю, в общую строку конфигурации MCPConnectionConfig для администратора, а функция _db_mcp_server_to_api_mcp_server возвращает эту строку через auth_template.headers любому пользователю с базовой авторизацией (BASIC_ACCESS). Эта проблема исправлена в версиях 3.1.10, 3.2.14 и 4.0.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.