CVE-2026-81027

Nome do Software Vulnerável e Versões Afetadas one-api (versões afetadas não especificadas)

Descrição Existe um problema em middleware/auth.go onde um de dois caminhos de fixação de canal (channel-pinning) não é devidamente controlado. Enquanto requisições que utilizam um sufixo na chave de API exigem que a função model.IsAdmin seja bem-sucedida, requisições que utilizam o parâmetro de caminho de URL channelid não passam por verificação de função. Qualquer conta com um token de API válido pode acessar este caminho. O valor de channelid é enviado ao distribuidor, que carrega o canal por identificador inteiro sem restringi-lo ao usuário ou grupo do solicitante. Isso permite que uma conta de baixo privilégio fixe qualquer canal incrementando o identificador, forçando o servidor a fazer requisições upstream usando uma chave de provedor configurada pelo operador e ignorando as restrições por grupo e a lista de permissões de modelo do canal.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.