Une faille critique dans le nouveau système API expose des clés non sécurisées à une utilisation gratuite et illimitée

Rapport AIbase, 16 avril 2026 — Le système largement utilisé pour l'agrégation et la gestion des interfaces de grands modèles d'intelligence artificielle, QuantumNous/new-api (communément appelé NewAPI), populaire dans les communautés open-source ainsi que chez les administrateurs de sites hébergés en interne, présente une vulnérabilité à haut risque dans sa logique de paiement. Lorsque la clé de paiement Stripe n'est pas correctement configurée, les attaquants peuvent falsifier des événements Webhook pour contourner le processus de paiement réel, permettant ainsi des recharges de montants arbitraires « à zero coût ».

La méthodologie d'attaque et les stratégies de mitigation associées à cette vulnérabilité ont suscité de nombreuses discussions sur les forums de développeurs et dans les communautés techniques publiques telles que X (anciennement Twitter). Étant donné que ce système est souvent utilisé pour des opérations commerciales ou des facturations basées sur des jetons, l'auteur de la découverte a temporairement retenu le code d'exploitation complet (PoC) afin de prévenir une exploitation malveillante et d'éventuelles pertes financières.

Analyse des principes de la vulnérabilité

NewAPI est un système de gestion qui gère les fonctions de traitement intermédiaire, de facturation et de recharges pour des interfaces de grands modèles tels que OpenAI et Claude. L'essence de la vulnérabilité révélée réside dans l'absence de validation rigoureuse des clés Stripe vides dans la logique de traitement asynchrone des Webhook après un paiement réussi.

Selon l'analyse du flux d'attaque circulant dans les communautés techniques, lorsque le webhook_secret de Stripe côté serveur n'est pas configuré (c'est-à-dire laissé vide), cela entraîne une rupture critique de confiance :

Échec du mécanisme de signature : L'algorithme HMAC-SHA256 ne génère aucun erreur lors du traitement d'une clé vide. Cela permet à tout attaquant de calculer une signature falsifiée qui correspond parfaitement à la logique de validation du serveur pour un contenu personnalisé.

Constitution d'un événement malveillant : Les attaquants ont simplement besoin d'obtenir ou de deviner le format du numéro de commande pour falsifier un événement checkout.session_completed et définir un montant total arbitrairement élevé dans le paquet de données.

Créditisation des fonds sans paiement réel : Après avoir envoyé la demande falsifiée à l'extrémité Webhook du serveur, celui-ci valide la signature en utilisant la clé vide. En cas de validation réussie, le système la traite incorrectement comme une commande payée légitime et crédite le compte de l'attaquant.

Résultat final : Stripe ne reçoit rien, et aucune trace de transaction n'apparaît dans le tableau de bord officiel de Stripe. Cependant, les journaux du serveur montrent des appels Webhook normaux, et le solde du compte de l'attaquant est augmenté avec succès.

Portée de l'impact de la vulnérabilité

Cette vulnérabilité ne concerne que les cas où la clé secrète Stripe n'est pas correctement configurée. De nombreux administrateurs négligent de configurer cette clé lors de la mise en place d'environnements de test, ou lorsque leurs sites reposent principalement sur d'autres méthodes de paiement (telles que WeChat ou Alipay) et ne utilisent pas le module Stripe, ce qui les rend particulièrement vulnérables.

Correctifs officiels et recommandations

En réponse à ce grave risque de sécurité, l'équipe du projet a agi rapidement et a publié la dernière version v0.12.10 aujourd'hui. Le journal des mises à jour indique clairement la direction des corrections : « Amélioration du traitement des paiements par Stripe pour mieux gérer les événements Webhook asynchrones », ce qui s'attaque au point aveugle de la sécurité dans la vérification des rappels à un niveau fondamental.

Les experts en sécurité recommandent vivement à tous les utilisateurs de NewAPI de prendre les mesures suivantes :

Mise à jour immédiate : Mettez à jour votre instance vers la dernière version v0.12.10 ou une version ultérieure (il est conseillé de télécharger directement la dernière version publiée ou la build nocturne).

Configuration obligatoire de la clé : Même si votre site ne prévoit pas d'utiliser les paiements par Stripe, après la mise à jour, vous devez configurer la clé secrète Stripe dans le backend. Il est recommandé d'utiliser une chaîne de mots de passe forte générée aléatoirement ou de la contrôler strictement via des variables d'environnement afin d'éliminer toute possibilité que la clé soit vide.

Conducte d'une auto-audit des facturations : Examinez immédiatement les commandes existantes des utilisateurs et les enregistrements de recharges dans le système (en particulier dans les environnements de test), comparez-les avec les fonds réellement reçus, et vérifiez l'existence de toute recharge frauduleuse de montant élevé.

Amélioration de la validation des paiements : Pour les environnements de production, il est recommandé d'examiner en détail la logique des rappels asynchrones pour tous les canaux de paiement afin de garantir une double vérification de la validité de la signature et de l'authenticité de l'état de la commande.

Les détails techniques de cette vulnérabilité sont maintenant disponibles au public. En raison du faible obstacle à son exploitation, il est recommandé à tous les administrateurs concernés de prendre des mesures immédiates pour effectuer des auto-inspections et des mises à jour afin de prévenir d'éventuelles pertes de biens numériques.