جزئیات آسیب‌پذیری
CVE-2026-41432
QuantumNous new-api
New API: Stripe Webhook Signature Bypass via Empty Secret Enables Unlimited Quota Fraud
CVSS 3.1
7.1بالا
شرح رسمی (انگلیسی)
New API is a large language mode (LLM) gateway and artificial intelligence (AI) asset management system. Prior to version 0.12.10, a vulnerability exists in the Stripe webhook handler that allows an unauthenticated attacker to forge webhook events and credit arbitrary quota to their account without making any payment. This issue has been patched in version 0.12.10.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 7.1بالا | 3.1 | CVEProject cvelistV5 (CNA) (GitHub_M) | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:L |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| QuantumNous | new-api | < 0.12.10 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۲- https://github.com/QuantumNous/new-api/releases/tag/v0.12.10 x_refsource_MISC
- https://github.com/QuantumNous/new-api/security/advisories/GHSA-xff3-5c9p-2mr4 x_refsource_CONFIRM
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۲/۱۹
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۲/۲۲
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- GitHub_M
پیش‌بینی بهره‌برداری (EPSS)
۰٫۸۵٪
احتمال بهره‌برداری در ۳۰ روز
۵۸٫۳٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- خیر
- وضعیت بهره‌برداری
- اثبات مفهوم
- اثر فنی
- جزئی
ضعف‌ها (CWE)
- CWE-345Insufficient Verification of Data Authenticity
- CWE-1188Insecure Default Initialization of Resource
- CWE-863Incorrect Authorization