EFAK (pengelola klaster Kafka): pengguna hak rendah dapat membaca kunci API penyedia LLM yang tidak ditopengi melalui /api/model-config

CVE-2026-111682 (CVSS 6.5, CWE-862) diverifikasi melalui NVD REST API (dipublikasikan 2026-10-16 oleh VulnCheck): API REST /api/model-config tidak memiliki gerbang otorisasi apa pun, sehingga akun mana pun dengan ROLE_USER dapat membaca kunci API penyedia LLM yang tersimpan dalam teks jelas.

Perkakas Kafka/Lakehouse semakin banyak menyimpan kredensial penyedia LLM untuk pemantauan dan pipeline data yang digerakkan AI; mengekspos kunci tersebut ke pengguna hak rendah mana pun menciptakan jalur pergerakan lateral dan pencurian kredensial terhadap infrastruktur AI yang terhubung dengan platform.

Pengguna hak rendah yang terautentikasi mengueri /api/model-config/page atau /api/model-config/{id} untuk mengambil kunci API penyedia LLM yang tidak ditopengi karena kurangnya pemeriksaan otorisasi pada API REST model-config.

EFAK 5.0.0–5.1.0 (smartloli/EFAK)

Tingkatkan versi melewati 5.1.0; terapkan otorisasi khusus admin pada endpoint model-config; rotasi kunci penyedia LLM yang terekspos. Lihat advisory VulnCheck.