CVE-2026-64868
WysokieCVSS 7.5Streszczenie
W New API przed wersją 1.0.0-rc.11, endpointy POST /api/stripe/webhook, POST /api/creem/webhook i POST /api/waffo/webhook czytają i logują pełne treści żądań przed weryfikacją podpisu, co pozwala nieuwierzytelnionemu atakującemu na wywołanie presji na pamięć, restarty kontenerów lub wyczerpanie dysku bez sfałszowania płatności.
Ocena ryzyka
Atakujący może spowodować niedostępność usługi lub wyczerpanie zasobów systemowych, co może prowadzić do przerw w działaniu.
Rekomendacja
Zaleca się aktualizację New API do wersji 1.0.0-rc.11 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
New API is a large language mode (LLM) gateway and artificial intelligence (AI) asset management system. Prior to 1.0.0-rc.11, POST /api/stripe/webhook, POST /api/creem/webhook, and POST /api/waffo/webhook read and log full request bodies before signature validation in router/api-router.go and the payment controllers, allowing an unauthenticated attacker to cause memory pressure, container restarts, or disk exhaustion without forging a successful payment. This issue is fixed in version 1.0.0-rc.11.