CVE-2026-9305

ŚrednieCVSS 6.3

Opublikowano: 23/05/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

W QuantumNous new-api do wersji 0.12.1 wykryto podatność na SQL Injection w funkcji SearchUserTopUps/SearchAllTopUps w pliku model/topup.go w komponencie self Endpoint. Atak może być wykonany zdalnie, a exploit został opublikowany. Producent nie odpowiedział na zgłoszenie.

Ocena ryzyka

Ryzyko wycieku danych użytkowników i transakcji, a także możliwość manipulacji danymi w systemie API.

Rekomendacja

Zaleca się natychmiastową walidację danych wejściowych w funkcjach SearchUserTopUps/SearchAllTopUps oraz zastosowanie zapytań parametryzowanych. Rozważ zastąpienie komponentu, jeśli producent nie reaguje.

Inne podatności w QuantumNous new-api

CVE-2026-9306Niskie
W QuantumNous new-api do wersji 0.12.1 wykryto podatność w funkcji RelayMidjourneyImage/GetByOnlyMJId pliku router/relay-router.go w komponencie Midjourney Image Relay Endpoint. Manipulacja prowadzi do obejścia autoryzacji. Atak może być przeprowadzony zdalnie, ale jest trudny.

Oryginalny opis (angielski, źródło NVD)

A weakness has been identified in QuantumNous new-api up to 0.12.1. The impacted element is the function SearchUserTopUps/SearchAllTopUps of the file model/topup.go of the component self Endpoint. This manipulation causes sql injection. The attack can be initiated remotely. The exploit has been made available to the public and could be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS