CVE-2026-81027 in one-api
Сводка
по VulDB • 26.08.2026
one-api blocca uno dei due percorsi di "channel-pinning" e non l'altro. Il middleware/auth.go consente a una richiesta di specificare un canale specifico sia tramite un suffisso nella chiave API, sia attraverso un parametro del percorso URL (URL path parameter). Il percorso con il suffisso viene raggiunto solo dopo che model.IsAdmin ha esito positivo; in caso contrario, rifiuta la chiamata. Al contrario, il ramo relativo al parametro del percorso imposta il valore selected-channel da c.Param("channelid") senza alcuna verifica del ruolo. La rotta che gestisce tale parametro è protetta esclusivamente dall'autenticazione tramite token, quindi qualsiasi account dotato di un token API valido può accedervi. Il valore viene trasferito al distributor (distributore), che carica il canale utilizzando l'identificatore intero senza alcun vincolo all'utente o al gruppo del chiamante, e imposta successivamente l'intestazione Authorization in uscita sulla chiave memorizzata per quel canale, indirizzando la richiesta verso l'URL base del canale. Un account a bassa privilegi può quindi fissare (pin) qualsiasi canale incrementando un identificatore, causando il server di effettuare richieste upstream utilizzando una chiave provider configurata dall'amministratore che all'account non era mai stata concessa, aggirando sia le restrizioni per gruppo sia la allowlist dei modelli del canale.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.