事件经过
CVE-2026-111682（CVSS 6.5，CWE-862）已通过NVD REST API验证（由VulnCheck于2026-10-16发布）：/api/model-config REST API缺少任何授权门控，因此任何具有ROLE_USER的账户都可以明文读取存储的LLM提供商API密钥。
影响分析
Kafka/Lakehouse工具越来越多地存储LLM提供商凭据，用于AI驱动的监控和数据管道；将这些密钥暴露给任何低权限用户，为针对该平台连接的AI基础设施创建了横向移动和凭据窃取的路径。
攻击途径
已认证的低权限用户查询/api/model-config/page或/api/model-config/{id}，由于model-config REST API缺少授权检查，可以检索未脱敏的LLM提供商API密钥。
受影响系统
EFAK 5.0.0–5.1.0（smartloli/EFAK）
缓解措施
升级到5.1.0之后；在model-config端点上强制仅管理员授权；轮换暴露的LLM提供商密钥。参见VulnCheck公告。