CVE-2026-9306
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W QuantumNous new-api do wersji 0.12.1 wykryto podatność w funkcji RelayMidjourneyImage/GetByOnlyMJId pliku router/relay-router.go w komponencie Midjourney Image Relay Endpoint. Manipulacja prowadzi do obejścia autoryzacji. Atak może być przeprowadzony zdalnie, ale jest trudny.
Ocena ryzyka
Osoba atakująca zdalnie może ominąć mechanizmy autoryzacji i uzyskać nieuprawniony dostęp do punktu końcowego przekaźnika obrazów Midjourney, co może prowadzić do wycieku danych lub nieautoryzowanego użycia usługi.
Rekomendacja
Zaleca się natychmiastową aktualizację do nowszej wersji, jeśli dostępna, lub zastosowanie tymczasowych zabezpieczeń, takich jak ograniczenie dostępu do API tylko dla zaufanych adresów IP.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in QuantumNous new-api up to 0.12.1. This affects the function RelayMidjourneyImage/GetByOnlyMJId of the file router/relay-router.go of the component Midjourney Image Relay Endpoint. Such manipulation leads to authorization bypass. The attack can be launched remotely. The attack requires a high level of complexity. The exploitability is reported as difficult. The exploit has been disclosed publicly and may be used. The vendor was contacted early about this disclosure but did not respond in any way.