ช่องโหว่ร้ายแรงใน Bifrost AI Gateway เปิดให้รันคำสั่งได้โดยไม่ต้องยืนยันตัวตน — CVE-2026-90898 คะแนน 9.8
ช่องโหว่ร้ายแรง CVE-2026-90898 (CVSS 9.8) ใน Bifrost เกตเวย์ AI แบบโอเพนซอร์สที่ส่งต่อคำขอไปยังผู้ให้บริการ LLM กว่า 20 ราย เปิดให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนรันคำสั่งบนเซิร์ฟเวอร์เกตเวย์ได้ด้วยคำขอ HTTP เพียงครั้งเดียว ช่องโหว่กระทบ HTTP transport ทุกเวอร์ชันก่อน 2.1.0 เมื่อปิดการยืนยันตัวตนฝั่งจัดการ ซึ่งเป็นค่าเริ่มต้น เนื่องจากเกตเวย์เก็บ API key ของผู้ให้บริการทุกราย การรันคำสั่งได้จึงเท่ากับได้กุญแจเหล่านั้นไปด้วย