CVE-2026-42339— New API 代码问题漏洞
Affected Version Matrix 1
| ベンダー | プロダクト | Version Range | ステータス |
|---|---|---|---|
| QuantumNous | new-api | <= 0.11.9-alpha.1 | affected |
新しい脆弱性情報の通知を購読するログインして購読
I. CVE-2026-42339の基本情報
脆弱性情報
脆弱性についてご質問がありますか？Shenlongの分析が参考になるかご確認ください！
Shenlongの10の質問を表示 ↗ 高度な大規模言語モデル技術を使用していますが、出力には不正確または古い情報が含まれる可能性があります。Shenlongはデータの正確性を確保するよう努めていますが、実際の状況に基づいて検証・判断してください。
脆弱性タイトル
New API: SSRF Filter Bypass via 0.0.0.0
ソース: CVE Program / CVE List V5
脆弱性説明
New API is a large language mode (LLM) gateway and artificial intelligence (AI) asset management system. In versions 0.11.9-alpha.1 and prior, the SSRF protection introduced in v0.9.0.5 (CVE-2025-59146) and hardened in v0.9.6 (CVE-2025-62155) does not block the unspecified address 0.0.0.0. A regular (non-admin) user holding any valid API token can send a multimodal request to /v1/chat/completions, /v1/responses, or /v1/messages with 0.0.0.0 as the image/file URL host, bypassing the private-IP filter and causing the server to issue HTTP requests to localhost. This constitutes at minimum a blind SSRF; when the request is routed through an AWS/Bedrock Claude adaptor, the fetched content is inlined into the model response, upgrading it to a full-read SSRF. At time of publication, there are no publicly available patches.
ソース: CVE Program / CVE List V5
CVSS情報
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:H/VA:N/SC:N/SI:N/SA:N
ソース: CVE Program / CVE List V5
脆弱性タイプ
服务端请求伪造(SSRF)
ソース: CVE Program / CVE List V5
脆弱性タイトル
New API 代码问题漏洞
ソース: CNNVD (China National Vulnerability Database)
脆弱性説明
New API是QuantumNous开源的一个接口软件。 New API 0.11.9-alpha.1及之前版本存在代码问题漏洞，该漏洞源于SSRF保护未阻止未指定地址0.0.0.0，可能导致持有有效API令牌的用户绕过私有IP过滤器向本地主机发出HTTP请求。
ソース: CNNVD (China National Vulnerability Database)
CVSS情報
N/A
ソース: CNNVD (China National Vulnerability Database)
脆弱性タイプ
N/A
ソース: CNNVD (China National Vulnerability Database)
影響を受ける製品
| ベンダー | プロダクト | 影響を受けるバージョン | CPE | 購読 |
|---|---|---|---|---|
| QuantumNous | new-api | <= 0.11.9-alpha.1 | - |
II. CVE-2026-42339の公開POC
| # | POC説明 | ソースリンク | Shenlongリンク |
|---|
AI生成POCプレミアム
公開POCは見つかりませんでした。
ログインしてAI POCを生成III. CVE-2026-42339のインテリジェンス情報
请登录查看更多情报信息。
CVE-2026-42339 厂商安全公告 (1)
- 🔗 SSRF Filter Bypass via 0.0.0.0 · Advisory · QuantumNous/new-api · GitHub 記事全文を読む x_refsource_CONFIRM
IV. 関連脆弱性
同じ製品: new-api
- CVE-2026-64865
New API: Redis user quota cache overwrite via PUT /api/user/ - CVE-2026-71479
New API: Integer overflow in quota billing yields negative c - CVE-2026-64866
New API: Admin can reset passkeys for same-level or higher-p - CVE-2026-64868
New API: Unauthenticated payment webhooks allow memory and d - CVE-2026-64859
New API: User List API Leaks Root User Access Token Leading
同じベンダー: QuantumNous
- CVE-2026-64865
New API: Redis user quota cache overwrite via PUT /api/user/ - CVE-2026-71479
New API: Integer overflow in quota billing yields negative c - CVE-2026-64866
New API: Admin can reset passkeys for same-level or higher-p - CVE-2026-64868
New API: Unauthenticated payment webhooks allow memory and d - CVE-2026-64859
New API: User List API Leaks Root User Access Token Leading
同じ弱点: CWE-918
- CVE-2026-64849
MLflow: Unauthenticated full-read SSRF in webhook delivery: - CVE-2026-35219
Budibase: SSRF in Automation Steps - Webhook, Zapier, N8N, S - CVE-2026-73560
vLLM: SSRF + arbitrary local file read in MiMoV2OmniMultiMod - CVE-2026-48053
Kolibri has Unauthenticated Server-Side Request Forgery (SSR - CVE-2026-75053
IntelliJ IDEA 2026.2.1前SSRF漏洞
V. CVE-2026-42339へのコメント
まだコメントはありません