CVE-2026-117574

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.1
EPSS: 0.2%
CWE: CWE-639
KEV Durumu: Hayır

Yayım tarihi: 28 Ekim 2026

Ai-gateway-payload-processing'de bir zayıflık bulundu. Kimliği doğrulanmış bir uzaktan saldırgan, istek gövdesinde veya başlığında başka bir kiracının model tanımlayıcısını belirterek bu zayıflığı sömürebilir. Hizmet, paylaşılan depodan kimlik bilgilerini almadan önce yetkilendirmeyi doğrulamadığından, hedef kiracının uygulama programlama arabirimi (API) anahtarlarını isteğe enjekte eder. Bu zayıflık, saldırgana yetkisiz istekleri gerçekleştirmesine ve başka bir kiracının büyük dil modeli (LLM) kaynaklarını ve kotalarını tüketmesine olanak tanır.

Orijinal açıklama (İngilizce)

A flaw was found in ai-gateway-payload-processing. An authenticated remote attacker can exploit this vulnerability by submitting a request specifying another tenant's model identifier in the request body or header. Because the service does not verify authorization before retrieving credentials from the shared store, it injects the target tenant's application programming interface (API) keys into the request. This flaw allows an attacker to perform unauthorized requests and consume another tenant's large language model (LLM) resources and quotas.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.