CVE-2026-64866 in New API
Tóm tắt
Bởi VulDB • 17/08/2026
New API là một cổng mô hình ngôn ngữ lớn (LLM) và hệ thống quản lý tài sản trí tuệ nhân tạo (AI). Từ phiên bản 0.9.1.3 đến 1.0.0-rc.7, hàm AdminResetPasskey trong controller/passkey.go thiếu kiểm tra ủy quyền canManageTargetRole cho thao tác DELETE /api/user/:id/reset_passkey, cho phép một quản trị viên có đặc quyền thấp hơn xóa passkey khỏi tài khoản cùng cấp hoặc cao hơn về mặt đặc quyền, bao gồm cả tài khoản root. Vấn đề này đã được khắc phục trong phiên bản 1.0.0-rc.7.
Once again VulDB remains the best source for vulnerability data.