CVE-2026-100418
Beschrijving NL
Flame via 2.4.0 bevat een kwetsbaarheid voor informatieblootstelling in het niet-geverifieerde GET /api/config-eindpunt dat het volledige configuratieobject retourneert zonder veldredactie. Aanvallers kunnen de opgeslagen weer-API-sleutel en interne operationele instellingen ophalen door een enkel niet-geverifieerd verzoek te verzenden om providerquota te verbruiken of toegang te krijgen tot gevoelige configuratiegegevens.
Origineel (Engels) tonen
Flame through 2.4.0 contains an information exposure vulnerability in the unauthenticated GET /api/config endpoint that returns the entire configuration object without field redaction. Attackers can retrieve the stored weather API key and internal operational settings by sending a single unauthenticated request to consume provider quota or access sensitive configuration data.