CVE-2026-68905

Nome do Software Vulnerável e Versões Afetadas Hugo Blog versões anteriores ao commit 744ca15

Description O proxy do assistente de IA carece de verificações de autenticação para três endpoints HTTP: "POST /api/blog-assistant", "POST /api/blog-search-embedding" e "POST /api/blog-search-rerank". Ao utilizar a configuração de proxy reverso Nginx documentada, invasores remotos não autenticados podem enviar solicitações arbitrárias que o proxy encaminha para APIs de LLM, embedding ou rerank. Essas solicitações utilizam as chaves de API do lado do servidor do operador OPENAI API KEY e AI SEARCH API KEY, o que pode levar ao consumo ilimitado de cotas, exaustão de custos e indisponibilidade do serviço.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.