CVE-2026-73079 in Sub2API
Сводка
по VulDB • 11.08.2026
Sub2API — это платформа API-шлюза на базе искусственного интеллекта, предназначенная для распределения и управления квотами API от подписок продуктов ИИ. В версиях с 0.1.135 по 0.1.168 ключи API платформы, выданные арендаторам (tenants), используются для выполнения запросов к провайдерам верхнего уровня через общие учетные записи поставщиков (OAuth ChatGPT/Codex, ключи платформы OpenAI или базовый URL-адрес, настроенный оператором), которые принадлежат оператору, а не вызывающей стороне. Маршруты с подстановочным знаком `POST /responses/*subpath` вставляли предоставленный клиентом субпуть в URL-адрес провайдера верхнего уровня без какой-либо проверки. Это позволяет авторизованному арендатору ретранслировать запросы к произвольным конечным точкам провайдеров, используя учетные данные из пула общих аккаунтов, посредством обхода пути (path traversal). Данная уязвимость исправлена в версии 0.1.169.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.