CVE-2025-59146

Przed wersją 1.0.0-rc.18 w systemie New API, kontrolowane przez użytkownika wartości (np. liczba obrazów, czas trwania wideo, max_tokens, max_completion_tokens, maxOutputTokens, czas trwania audio, ilości w wyrażeniach rozliczeniowych) mogą powodować przepełnienie konwersji w common/quota_math.go i powiązanych ścieżkach rozliczeniowych. Pozwala to kontu o niskich uprawnieniach z dodatnim saldem lub aktywną subskrypcją zamienić ujemne obciążenie na kredyt na koncie i potencjalnie wyczerpać środki dostawcy.

Przed wersją 1.0.0-rc.7 w systemie New API, API listy użytkowników i wyszukiwania użytkowników (w tym GET /api/user/) zwracają User.AccessToken jako access_token, ponieważ obiekty modelu User są serializowane po zapytaniach z użyciem Omit("password"). Umożliwia to uwierzytelnionemu administratorowi uzyskanie tokena bearer roota i dostęp do API konfiguracji systemu dostępnych tylko dla roota.

W QuantumNous new-api do wersji 1.0.0-rc.15 stwierdzono podatność w pliku /api/usage/token/ w komponencie Revoked API Token Handler. Manipulacja prowadzi do wygaśnięcia sesji. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony. Aktualizacja do wersji 1.0.0-rc.17 rozwiązuje problem.

W New API przed wersją 1.0.0-rc.11, endpointy POST /api/stripe/webhook, POST /api/creem/webhook i POST /api/waffo/webhook czytają i logują pełne treści żądań przed weryfikacją podpisu, co pozwala nieuwierzytelnionemu atakującemu na wywołanie presji na pamięć, restarty kontenerów lub wyczerpanie dysku bez sfałszowania płatności.

W New API (bramka LLM i system zarządzania zasobami AI) od wersji 0.9.1.3 do 1.0.0-rc.7, funkcja AdminResetPasskey w controller/passkey.go nie sprawdza autoryzacji canManageTargetRole dla żądania DELETE /api/user/:id/reset_passkey, co pozwala administratorowi o niższych uprawnieniach na usunięcie klucza dostępu z konta o równych lub wyższych uprawnieniach, w tym z konta root.

W New API przed wersją 1.0.0-rc.16, powtarzane żądania PUT /api/user/self aktualizujące język lub sidebar_modules mogą powodować wyścig w rozliczeniach relay, ponieważ controller/user.go wywołuje User.Update, a updateUserCache wykonuje pełny zapis RedisHSetObj do user:.Quota, nadpisując równoczesne odjęcia HINCRBY i pozwalając uwierzytelnionemu użytkownikowi na sztuczne utrzymanie wysokiego limitu.

W systemie New API, będącym bramą dla modeli językowych i systemem zarządzania zasobami AI, wykryto podatność polegającą na użyciu żądań GET do wiązania kont e-mail i WeChat. Atakujący może wykorzystać to do przejęcia konta zalogowanego użytkownika poprzez skłonienie jego przeglądarki do powiązania z kontrolowanym przez atakującego adresem e-mail lub tożsamością OAuth, gdy sesyjne ciasteczka są przesyłane w nawigacjach między witrynami.

W systemie New API, będącym bramą dla dużych modeli językowych (LLM) i systemem zarządzania aktywami AI, domyślna konfiguracja ochrony SSRF nie filtrowała adresów IP na podstawie nazw hostów. Wyłączenie opcji ApplyIPFilterForDomain powodowało, że walidacja URL sprawdzała tylko reguły dozwolonych/zablokowanych domen, ale nie rozwiązywała nazwy hosta na adres IP, co umożliwiało uwierzytelnionym użytkownikom skonfigurowanie URL-i powiadomień Webhook, Bark lub Gotify wskazujących na wewnętrzne lub metadane adresy IP.

New API, brama LLM i system zarządzania aktywami AI, w wersjach do 0.11.9-alpha.1 nie blokuje adresu 0.0.0.0 w ochronie SSRF. Zwykły użytkownik z ważnym tokenem API może wysłać multimodalne żądanie do /v1/chat/completions, /v1/responses lub /v1/messages z hostem 0.0.0.0, omijając filtr prywatnych IP i powodując żądania HTTP do localhost. W przypadku użycia adaptera AWS/Bedrock Claude, pobrana treść jest wstawiana do odpowiedzi modelu, co stanowi pełny SSRF.