JVNDB-2026-008843

Quantum NousのNew APIにおけるユーザ制御の鍵による認証回避に関する脆弱性

新しいAPIは大規模言語モデル（LLM）ゲートウェイおよび人工知能（AI）資産管理システムです。バージョン0.11.4-alpha.2以前には、ビデオプロキシエンドポイント（`GET /v1/videos/:task_id/content`）に不適切な直接オブジェクト参照（IDOR）脆弱性が存在し、認証された任意のユーザーが他のユーザーに属するビデオコンテンツにアクセスできていました。また、サーバーが所有していないタスクから取得した資格情報を使って上流のAIプロバイダー（Google Gemini、OpenAI）に対して認証を行う問題もありました。認可チェックの欠如は単一の関数呼び出しに起因しており、`model.GetByOnlyTaskId(taskID)`は`task_id`のみでクエリを行い`user_id`フィルターを適用していません。しかし、コードベース内の他のすべてのタスク参照は`model.GetByTaskId(userId, taskID)`を使って所有権を強制しています。バージョン0.11.4-alpha.2でこの問題は修正されました。

Quantum Nous

• New API 0.11.4 未満
• New API 0.11.4

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : IDOR in VideoProxy allows cross-user video content access via missing ownership check   Advisory  QuantumNous/new-api  GitHub

1. ユーザ制御の鍵による認証回避(CWE-639) [その他]

1. CVE-2026-30886

1. National Vulnerability Database (NVD) : CVE-2026-30886
2. 関連文書 : fix(video_proxy): update task retrieval to include user ID for improv…  QuantumNous/new-api@50ec2ba  GitHub

• [2026年03月27日]
    掲載