CVE-2026-117574
Red Hat Red Hat OpenShift AI (RHOAI)
Traduzido automaticamente do inglês.
- Red Hat Red Hat OpenShift AI (RHOAI)
- Crítica
- CVSS 9.1
- Nenhuma versão corrigida informada
Resumo
Foi encontrado um problema no ai-gateway-payload-processing. Um atacante remoto autenticado pode explorar essa vulnerabilidade enviando uma solicitação que especifique o identificador do modelo de outro inquilino no corpo ou no cabeçalho da solicitação.
Do registro CVE.
Ler a descrição original
Registro CVE
A flaw was found in ai-gateway-payload-processing. An authenticated remote attacker can exploit this vulnerability by submitting a request specifying another tenant's model identifier in the request body or header. Because the service does not verify authorization before retrieving credentials from the shared store, it injects the target tenant's application programming interface (API) keys into the request. This flaw allows an attacker to perform unauthorized requests and consume another tenant's large language model (LLM) resources and quotas.
O que fazer
Nenhuma versão corrigida informada
Produtos afetados
| Produto | Afetadas | Corrigido em |
|---|---|---|
| Red Hat Red Hat OpenShift AI (RHOAI) | Nenhuma informada | Nenhuma informada |
| Red Hat Red Hat OpenShift AI (RHOAI) | todas as versões | Nenhuma informada |
Notas e sinais
- Exploração
- Sem exploração conhecida
- Gravidade
- Crítica, CVSS 9.1 (v3.1, pontuado por redhat)
- Fraqueza
- CWE-639: Authorization Bypass Through User-Controlled Key
- Fabricante
- Red Hat, Red Hat OpenShift AI (RHOAI)
Linha do tempo
- Listada como crítica pelo cve.now. Versões afetadas e corrigidas vêm do registro CVE, quando for publicado.