何が起きたか
CVE-2026-111682（CVSS 6.5、CWE-862）はNVD REST API経由で検証済み（2026年10月16日にVulnCheckが公開）: /api/model-config REST APIに認可ゲートがないため、ROLE_USERを持つ任意のアカウントが保存されたLLMプロバイダーAPIキーを平文で読み取ることができます。
なぜ重要か
Kafka/Lakehouseツールは、AI駆動のモニタリングとデータパイプラインのためにLLMプロバイダー資格情報をますます保存しています。これらのキーを任意の低権限ユーザーに公開すると、プラットフォームが接続するAIインフラストラクチャに対する横移動と資格情報窃取の経路が生まれます。
攻撃経路
認証された低権限ユーザーが、model-config REST APIの認可チェック欠如により、/api/model-config/pageまたは/api/model-config/{id}をクエリしてマスクされていないLLMプロバイダーAPIキーを取得します。
影響を受けるシステム
EFAK 5.0.0–5.1.0（smartloli/EFAK）
緩和策
5.1.0以降にアップグレード。model-configエンドポイントに管理者のみの認可を強制。公開されたLLMプロバイダーキーをローテーション。VulnCheckアドバイザリを参照。