CVE-2026-34999mediumCWE-306

CVE-2026-34999: falha de média gravidade em Volcengine OpenViking

OpenViking 0.2.5 < 0.2.14 Bot Proxy Endpoints Allow Unauthenticated Access

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar OpenViking

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 6.9epss 0.4%
OpenViking versions 0.2.5 prior to 0.2.14 contain a missing authentication vulnerability in the bot proxy router that allows remote unauthenticated attackers to access protected bot proxy functionality by sending requests to the POST /bot/v1/chat and POST /bot/v1/chat/stream endpoints. Attackers can bypass authentication checks and interact directly with the upstream bot backend through the OpenViking proxy without providing valid credentials.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
Produtos afetados
Volcengine · OpenViking
CVEs relacionadas — Volcengine OpenViking

No mesmo produto, das mais perigosas para as menos.

CVE-2026-22207CRITICALOpenViking Missing root_api_key Allows Anonymous ROOT AccessEPSS 0.5%CVE-2026-22680MEDIUMOpenViking < 0.3.3 Missing Authorization via Task PollingEPSS 0.4%CVE-2026-22681HIGHOpenViking < 0.3.4 SSRF via /api/v1/resourcesEPSS 0.3%CVE-2026-28518HIGHOpenViking .ovpack Import ZIP Slip Path TraversalEPSS 0.2%