یک آسیب‌پذیری امنیتی با شناسه CVE-2026-108581 در نرم‌افزار TencentCloud Octop (نسخه‌های تا 1.0.2b6) کشف شده است که به دلیل نقص در فرآیند احراز صلاحیت (Missing Authorization)، امکان دسترسی غیرمجاز به اطلاعات حساس را فراهم می‌کند.
جزئیات فنی آسیب‌پذیری
در این نقص امنیتی، کاربران احراز هویت شده با سطح دسترسی پایین (Low-privileged users) می‌توانند از طریق ارسال درخواست‌های GET به نقاط انتهایی (Endpoints) زیر، کلیدهای API ذخیره شده را مشاهده کنند:
/api/providers/api/voice/providers
سیستم در این نقاط انتهایی تنها توکن‌های JWT را اعتبارسنجی می‌کند و بررسی نمی‌کند که آیا کاربر درخواست‌دهنده اجازه دسترسی به این اطلاعات را دارد یا خیر. در نتیجه، مهاجم می‌تواند کلیدهای API مربوط به مدل‌های زبانی بزرگ (LLM) و ارائه‌دهندگان سرویس‌های صوتی را به صورت متن ساده (Plaintext) استخراج نماید.
پیامدهای امنیتی
دسترسی به این کلیدها به مهاجم اجازه می‌دهد تا از حساب‌های ارائه‌دهندگان بالادستی (Upstream Providers) سوءاستفاده کرده و از منابع یا اعتبار این سرویس‌ها برای مقاصد غیرمجاز استفاده کند.
