Platform
go
Component
github.com/quantumnous/new-api
Opgelost in
0.9.7
0.9.6
CVE-2025-62155 beschrijft een Server-Side Request Forgery (SSRF) kwetsbaarheid in de QuantumNous new-api. Deze kwetsbaarheid maakt het mogelijk voor een aanvaller om interne bronnen te bereiken die normaal gesproken niet toegankelijk zijn van buitenaf. De kwetsbaarheid is aanwezig in versies vóór 0.9.6 en kan worden omzeild door middel van een 302 redirect, waardoor de bestaande beveiligingsfix ineffectief wordt. Een update naar versie 0.9.6 of het implementeren van mitigaties wordt sterk aangeraden.
Een succesvolle exploitatie van deze SSRF-kwetsbaarheid stelt een aanvaller in staat om interne diensten en bronnen te benaderen die zich achter de firewall bevinden. Dit kan leiden tot het blootleggen van gevoelige informatie, zoals interne configuratiebestanden, database credentials of andere vertrouwelijke gegevens. De 302 redirect bypass maakt de exploitatie relatief eenvoudig, aangezien de aanvaller de bestaande beveiligingsmaatregelen kan omzeilen. De impact kan variëren afhankelijk van de interne systemen die toegankelijk zijn, maar potentieel kan dit leiden tot data-exfiltratie, configuratiewijzigingen of zelfs volledige controle over interne systemen.
De kwetsbaarheid werd publiekelijk bekendgemaakt op 2025-11-24. Er zijn momenteel geen bekende actieve campagnes gericht op deze specifieke kwetsbaarheid, maar de relatieve eenvoud van de exploitatie (302 redirect bypass) maakt het een aantrekkelijk doelwit voor automatische scanners en kwaadwillenden. Er is een publiek proof-of-concept beschikbaar, wat de kans op misbruik vergroot. De kwetsbaarheid is niet opgenomen in de CISA KEV catalogus op het moment van schrijven.
Organizations utilizing the QuantumNous new-api library in their applications, particularly those with internal services accessible via HTTP/HTTPS, are at risk. This includes deployments where the library is used as a dependency in larger projects, potentially impacting a wider range of applications and services.
• linux / server:
journalctl -u new-api -f | grep -i "redirect"• generic web:
curl -I <affected_endpoint> | grep "Location:"disclosure
Exploit Status
EPSS
0.04% (13% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie voor CVE-2025-62155 is het upgraden naar versie 0.9.6 van QuantumNous new-api. Indien een upgrade momenteel niet mogelijk is, kan een tijdelijke workaround bestaan uit het implementeren van strikte URL-validatie en filtering op de server. Dit omvat het blokkeren van redirects (301, 302, etc.) en het beperken van de toegestane protocollen en domeinen. Het gebruik van een Web Application Firewall (WAF) met SSRF-detectie en -preventie regels kan ook helpen om aanvallen te blokkeren. Controleer de configuratie van de new-api op onnodige interne toegangspunten en beperk deze indien mogelijk.
Werk bij naar versie 0.9.6 of hoger. Deze versie bevat de correctie voor de SSRF-kwetsbaarheid. De update voorkomt dat aanvallers de kwetsbaarheid exploiteren door middel van 302-redirects om toegang te krijgen tot het intranet.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2025-62155 is een Server-Side Request Forgery (SSRF) kwetsbaarheid in QuantumNous new-api, waardoor een aanvaller interne bronnen kan bereiken.
Ja, als u een versie van QuantumNous new-api gebruikt vóór 0.9.6, bent u kwetsbaar voor deze SSRF-kwetsbaarheid.
Upgrade naar versie 0.9.6 van QuantumNous new-api. Indien dit niet mogelijk is, implementeer dan URL-validatie en filtering.
Er zijn momenteel geen bekende actieve campagnes, maar de eenvoud van de exploitatie maakt het een aantrekkelijk doelwit.
Raadpleeg de QuantumNous website of GitHub repository voor het officiële beveiligingsadvies.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je go.mod-bestand en we vertellen je direct of je getroffen bent.