PT-2026-147149
CVE-2026-68905
·
تاريخ النشر
2026-11-13
·
تاريخ التحديث
2026-11-13
الوصف من
CVSS 3.1
8.2
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Hugo Blog الإصدارات السابقة للـ commit 744ca15
Description
يفتقر وكيل المساعد الذكي (AI assistant proxy) إلى فحوصات المصادقة لثلاثة نقاط نهاية HTTP وهي: "POST /api/blog-assistant" و "POST /api/blog-search-embedding" و "POST /api/blog-search-rerank". عند النشر وفقاً لإعدادات وكيل Nginx العكسي الموثقة، يمكن لأي مهاجم عن بُعد غير مصرح له إرسال طلبات عشوائية يقوم الوكيل بتوجيهها إلى واجهات برمجة تطبيقات LLM أو embedding أو rerank باستخدام مفاتيح API الخاصة بالخادم
OPENAI API KEY و AI SEARCH API KEY. يؤدي ذلك إلى استهلاك غير محدود للحصص، واستنزاف التكاليف، واحتمالية عدم توفر الخدمة للمشغل.Recommendations
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾