- Yama var
- Son 7 gün
- CWE-306
CVE-2026-116634
OmniRoute'ta /api/sync/tokens uç noktasında kimlik doğrulama eksikliği
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 2 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
OmniRoute 3.8.50 sürümünden 3.8.52 öncesine kadar olan sürümlerde kimlik doğrulama eksikliği bulunmaktadır. Bu açık, requireLogin devre dışı bırakıldığında kimliği doğrulanmamış saldırganların POST /api/sync/tokens üzerinden sync token'ları üretmesine olanak tanımaktadır. Saldırganlar, ürettikleri token'ı GET /api/sync/bundle uç noktasında kullanarak şifresi çözülmüş sağlayıcı kimlik bilgilerine ve düz metin API anahtarlarına erişebilmektedir. Token'lar, giriş özelliği yeniden etkinleştirildikten sonra da geçerliliğini korumaktadır.
Kaynaktaki açıklama (İngilizce)
OmniRoute 3.8.50 before 3.8.52 contains a missing authentication vulnerability that allows unauthenticated attackers to issue sync tokens via POST /api/sync/tokens when requireLogin is disabled. Attackers can use the issued token against GET /api/sync/bundle to retrieve decrypted provider credentials and plaintext API keys, with tokens persisting after login is re-enabled.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| cheaper-inference OmniRoute | ≥ 3.8.50, < 3.8.52 | 3.8.52 |
Kaynaklar9 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/cheaper-inference/OmniRoute/pull/17053 Yama
- github.com/…ommit/44a29611bf088e351d8d40eacaabdc1794ed0c61 Yama
- vulncheck.com/….52-missing-authentication-via-api-sync-tokens Üçüncü taraf
- github.com/…f58923c04b89e/src/app/api/sync/tokens/route.ts Diğer
- github.com/…6ff58923c04b89e/src/server/authz/routeGuard.ts Diğer
- github.com/cheaper-inference/OmniRoute/releases/tag/v3.8.52 Diğer
- github.com/cheaper-inference/OmniRoute Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.