प्लेटफ़ॉर्म
other
घटक
new-api
में ठीक किया गया
0.9.1
CVE-2025-59146 New API में एक गंभीर सर्वर-साइड रिक्वेस्ट फोर्जरी (SSRF) भेद्यता है। यह भेद्यता प्रमाणित उपयोगकर्ताओं को दुर्भावनापूर्ण URL सबमिट करने की अनुमति देती है, जिससे सर्वर आंतरिक संसाधनों तक पहुँच सकता है। यह भेद्यता New API के संस्करणों में मौजूद है जो 0.9.0.5 से पहले हैं। 0.9.0.5 में अपग्रेड करके इस भेद्यता को ठीक किया जा सकता है।
यह SSRF भेद्यता हमलावरों को आंतरिक सेवाओं और संसाधनों तक अनधिकृत पहुँच प्राप्त करने की अनुमति देती है। हमलावर संवेदनशील डेटा तक पहुँच सकते हैं, आंतरिक सिस्टम पर कमांड निष्पादित कर सकते हैं, या अन्य आंतरिक सेवाओं पर हमला करने के लिए सर्वर का उपयोग कर सकते हैं। चूंकि उपयोगकर्ता पंजीकरण अक्सर डिफ़ॉल्ट रूप से सक्षम होता है, इसलिए हमलावर आसानी से प्रमाणित उपयोगकर्ता के रूप में भेद्यता का फायदा उठा सकते हैं। इस भेद्यता का उपयोग आंतरिक नेटवर्क में आगे बढ़ने और व्यापक क्षति का कारण बनने के लिए किया जा सकता है। यह भेद्यता Log4Shell जैसे शोषण पैटर्न के समान है, जहां एक आंतरिक सेवा का उपयोग बाहरी हमलों के लिए एक लॉन्चिंग पैड के रूप में किया जा सकता है।
CVE-2025-59146 को अभी तक KEV में जोड़ा नहीं गया है। EPSS स्कोर की जानकारी उपलब्ध नहीं है। सार्वजनिक रूप से उपलब्ध प्रूफ-ऑफ-कॉन्सेप्ट (PoC) अभी तक ज्ञात नहीं हैं, लेकिन SSRF भेद्यताओं का फायदा उठाना अपेक्षाकृत आसान है, इसलिए सक्रिय शोषण की संभावना है। यह भेद्यता 2025-10-09 को प्रकाशित हुई थी।
Organizations utilizing New API for LLM gateway and AI asset management, particularly those with default user registration enabled, are at risk. Environments with limited network segmentation or exposed internal services are especially vulnerable, as an attacker could leverage the SSRF to access those resources.
• linux / server: Monitor system logs (journalctl) for outbound requests to unexpected or internal IP addresses originating from the New API process. Use ss or lsof to identify connections to unusual ports or hosts.
journalctl -u new-api -f | grep -i 'request to' | grep -v 'localhost'• generic web: Examine access logs for requests to the vulnerable endpoint with unusual or suspicious URLs. Check response headers for unexpected content or error codes.
grep -i 'new-api/vulnerable-endpoint' /var/log/apache2/access.logdisclosure
एक्सप्लॉइट स्थिति
EPSS
0.04% (11% शतमक)
CISA SSVC
CVSS वेक्टर
इस भेद्यता को कम करने के लिए, New API को तुरंत 0.9.0.5 में अपग्रेड करें। यदि अपग्रेड संभव नहीं है, तो एक वेब एप्लिकेशन फ़ायरवॉल (WAF) या प्रॉक्सी का उपयोग करके दुर्भावनापूर्ण URL अनुरोधों को ब्लॉक करें। URL सत्यापन को मजबूत करने के लिए कॉन्फ़िगरेशन वर्कअराउंड लागू करें, जैसे कि केवल स्वीकृत डोमेन की अनुमति देना। भेद्यता का पता लगाने के लिए, लॉग में असामान्य अनुरोधों की निगरानी करें और असामान्य URL पैटर्न की तलाश करें। अपग्रेड के बाद, यह सुनिश्चित करने के लिए कि भेद्यता ठीक हो गई है, एक परीक्षण URL सबमिट करके सत्यापित करें।
0.9.0.5 या बाद के संस्करण में अपडेट करें। यदि आप तुरंत अपग्रेड नहीं कर सकते हैं, तो new-api छवि प्रसंस्करण कार्यकर्ता (new-api-worker) को सक्षम करें और/या SSRF भेद्यता को कम करने के लिए आउटबाउंड फ़ायरवॉल नियम कॉन्फ़िगर करें।
भेद्यता विश्लेषण और गंभीर अलर्ट सीधे आपके ईमेल में।
CVE-2025-59146 New API के संस्करणों में 0.9.0.5 से पहले एक सर्वर-साइड रिक्वेस्ट फोर्जरी (SSRF) भेद्यता है, जो प्रमाणित उपयोगकर्ताओं को आंतरिक संसाधनों तक पहुँचने की अनुमति देती है।
यदि आप New API के संस्करण 0.9.0.5 से पहले का उपयोग कर रहे हैं, तो आप इस भेद्यता से प्रभावित हैं।
New API को 0.9.0.5 में अपग्रेड करें। यदि अपग्रेड संभव नहीं है, तो WAF या प्रॉक्सी का उपयोग करके दुर्भावनापूर्ण URL अनुरोधों को ब्लॉक करें।
हालांकि सार्वजनिक PoC ज्ञात नहीं हैं, SSRF भेद्यताओं का फायदा उठाना अपेक्षाकृत आसान है, इसलिए सक्रिय शोषण की संभावना है।
आधिकारिक सलाहकार के लिए New API की वेबसाइट या GitHub रिपॉजिटरी देखें।
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।