CVE-2026-71479
KrytyczneCVSS 9.1Streszczenie
Przed wersją 1.0.0-rc.18 w systemie New API, kontrolowane przez użytkownika wartości (np. liczba obrazów, czas trwania wideo, max_tokens, max_completion_tokens, maxOutputTokens, czas trwania audio, ilości w wyrażeniach rozliczeniowych) mogą powodować przepełnienie konwersji w common/quota_math.go i powiązanych ścieżkach rozliczeniowych. Pozwala to kontu o niskich uprawnieniach z dodatnim saldem lub aktywną subskrypcją zamienić ujemne obciążenie na kredyt na koncie i potencjalnie wyczerpać środki dostawcy.
Ocena ryzyka
Organizacja może ponieść straty finansowe, ponieważ atakujący może manipulować rozliczeniami, generując kredyty i drenując fundusze.
Rekomendacja
Zaktualizuj New API do wersji 1.0.0-rc.18 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
New API is a large language mode (LLM) gateway and artificial intelligence (AI) asset management system. Prior to 1.0.0-rc.18, user-controlled image n, video seconds and duration, max_tokens, max_completion_tokens, maxOutputTokens, audio duration, and billing-expression quantities can overflow conversions in common/quota_math.go and related settlement paths, allowing a low-privileged account with positive balance or an active subscription to turn a negative charge into account credit and potentially drain upstream funds. This issue is fixed in version 1.0.0-rc.18.