FICHE CVE

CVE-2026-11465

Publiée le 2026-06-07 · Dernière modification le 2026-07-23

🇫🇷 EN BREF

Les utilisateurs de songquanpeng one-api (jusqu'à la version 0.6.11-preview.7) peuvent être affectés par une erreur de logique dans le système de recharge par code d'activation. Un attaquant authentifié disposant d'un accès réseau pourrait potentiellement manipuler le processus de remboursement pour obtenir des crédits ou des avantages non autorisés. Comme l'attaque est très complexe et difficile à exécuter, le risque d'exploitation réussie est faible.

CVSS 4.01.3 FAIBLE

Type de faiblesse

CWE-840

Publiée2026-06-07

Dernière modification2026-07-23

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueÉlevée

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

Maturité de l'exploitPreuve de concept

RÉFÉRENCES

Description officielle du NVD (en anglais)

A security flaw has been discovered in songquanpeng one-api up to 0.6.11-preview.7. Affected by this issue is the function Redeem of the file model/redemption.go of the component Redemption Code Top-Up Endpoint. The manipulation results in business logic errors. The attack may be launched remotely. The attack requires a high level of complexity. The exploitation is known to be difficult. The exploit has been released to the public and may be used for attacks. The pull request to fix this issue awaits acceptance.