CVE-2026-64865
ŚrednieCVSS 6.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
W New API przed wersją 1.0.0-rc.16, powtarzane żądania PUT /api/user/self aktualizujące język lub sidebar_modules mogą powodować wyścig w rozliczeniach relay, ponieważ controller/user.go wywołuje User.Update, a updateUserCache wykonuje pełny zapis RedisHSetObj do user:.Quota, nadpisując równoczesne odjęcia HINCRBY i pozwalając uwierzytelnionemu użytkownikowi na sztuczne utrzymanie wysokiego limitu.
Ocena ryzyka
Uwierzytelniony użytkownik może manipulować swoim limitem, co może prowadzić do nieautoryzowanego wykorzystania zasobów lub obciążenia systemu.
Rekomendacja
Zaktualizuj New API do wersji 1.0.0-rc.16 lub nowszej, aby naprawić podatność.
Oryginalny opis (angielski, źródło NVD)
New API is a large language mode (LLM) gateway and artificial intelligence (AI) asset management system. Prior to 1.0.0-rc.16, repeated PUT /api/user/self requests that update language or sidebar_modules can race relay billing because controller/user.go calls User.Update and updateUserCache performs a full RedisHSetObj write to user:.Quota, overwriting concurrent HINCRBY deductions and allowing an authenticated user to keep cached quota artificially high. This issue is fixed in version 1.0.0-rc.16.