- Yama var
- Son 7 gün
- CWE-620
CVE-2026-118984
OmniRoute 3.8.0 before 3.8.52 Unverified Password Change via /api/settings/require-login
Orta
5,5
CVSS 3.1
- Yayımlandı
- Güncellendi
- 29 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- VulnCheck
Özet
Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.
OmniRoute 3.8.0 before 3.8.52 contains an unverified password change vulnerability that allows holders of manage- or admin-scoped API keys or oma_ access tokens to change the management password without the current password. Attackers can send POST requests to /api/settings/require-login to lock out the operator, take over dashboard login, or disable the login requirement entirely.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| cheaper-inference OmniRoute | ≥ 3.8.0, < 3.8.52 | 3.8.52 |
Kaynaklar9 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/cheaper-inference/OmniRoute/pull/16897 Yama
- github.com/…ommit/dde27f4964872c9b43cfd5b8f532693f6c018af6 Yama
- vulncheck.com/…password-change-via-api-settings-require-login Üçüncü taraf
- github.com/…9e/src/app/api/settings/require-login/route.ts Diğer
- github.com/…f6ff58923c04b89e/src/app/api/settings/route.ts Diğer
- github.com/cheaper-inference/OmniRoute/releases/tag/v3.8.52 Diğer
- github.com/cheaper-inference/OmniRoute Diğer
Kayıt geçmişi
- Yayımlandı