Falha Crítica no Sistema NewAPI Expõe Chaves Inseguras para Uso Gratuito Ilimitado

AIbase Relatório, 16 de abril de 2026 — O sistema amplamente utilizado para agregação e gerenciamento de interfaces de grandes modelos de IA, QuantumNous/new-api (comumente conhecido como NewAPI), popular entre as comunidades de código aberto e administradores de sites autônomos, foi confirmado como contendo uma vulnerabilidade de alto risco em sua lógica de pagamento. Quando a chave de pagamento do Stripe não é configurada corretamente, os atacantes podem forjar eventos Webhook para contornar o processo de pagamento real, permitindo recargas “sem custo” de qualquer valor.

O método de ataque e as estratégias de mitigação para esta vulnerabilidade provocaram extensas discussões em fóruns de desenvolvedores e comunidades técnicas públicas como o X (anteriormente Twitter). Considerando que o sistema é frequentemente usado para operações comerciais ou cobranças baseadas em tokens, o descobridor reteve temporariamente o código completo do exploit de conceito (PoC) para evitar exploração maliciosa e potenciais perdas financeiras.

Análise dos Princípios da Vulnerabilidade

NewAPI é um sistema de gerenciamento que lida com funções intermediárias de processamento, cobrança e recarga para interfaces de grandes modelos como OpenAI e Claude. A essência da vulnerabilidade exposta reside em a falta de validação rigorosa de chaves vazias do Stripe dentro da lógica de processamento assíncrono de Webhook após o pagamento.

Com base na análise do fluxo de ataque que circula nas comunidades técnicas, quando a chave webhook_secret do Stripe no lado do servidor não é configurada (ou seja, deixada como uma string vazia), isso cria uma falha crítica de confiança:

Falha no Mecanismo de Assinatura: O algoritmo HMAC-SHA256 não gera um erro ao processar uma chave vazia. Isso permite que qualquer atacante calcule uma assinatura falsa que corresponda perfeitamente à lógica de validação do servidor para um payload personalizado.

Construção de um Evento Malicioso: Os atacantes só precisam obter ou adivinhar o formato do número de ordem para forjar um evento checkout.session_completed e definir um valor total arbitrariamente alto (amount_total, valor da recarga) no pacote de dados.

Créditos Creditados Sem Pagamento Real: Após enviar o pedido falso para o ponto final de Webhook do servidor, o servidor valida a assinatura usando a chave vazia. Após a validação bem-sucedida, o sistema trata-o incorretamente como uma ordem paga legítima e crédita o saldo da conta do atacante.

Resultado Final: O Stripe recebe $0, e nenhum registro de transação aparece no painel oficial do Stripe. No entanto, os registros do servidor mostram callbacks de Webhook normais, e o saldo da conta do atacante é aumentado com sucesso.

Escopo do Impacto da Vulnerabilidade

Esta vulnerabilidade afeta apenas instâncias em que a chave secreta do Stripe não foi configurada corretamente. Muitos administradores negligenciam a configuração desta chave ao criar ambientes de teste ou quando seus sites dependem principalmente de outros métodos de pagamento (como WeChat ou Alipay) e não usam o módulo do Stripe, deixando-os altamente vulneráveis.

Correções Oficiais e Recomendações

Em resposta a este sério risco de segurança, a equipe do projeto agiu rapidamente e lançou a versão mais recente v0.12.10 hoje. O log de atualização indica claramente a direção da correção: “Melhorias no processamento de pagamentos pelo Stripe para lidar melhor com eventos assíncronos de Webhook”, abordando o ponto cego de segurança na verificação de callback em nível fundamental.

Especialistas em segurança recomendam fortemente que todos os usuários do NewAPI tomem as seguintes ações:

Atualize Imediatamente: Atualize sua instância para a versão mais recente v0.12.10 ou uma versão mais alta (recomenda-se baixar diretamente a versão mais recente ou a build noturna).

Configure Corretamente a Chave: Mesmo que seu site não planeje usar pagamentos pelo Stripe, após a atualização, você deve configurar a chave secreta do Stripe no backend. Recomenda-se usar uma string de senha forte gerada aleatoriamente ou controlá-la estritamente por meio de variáveis de ambiente para eliminar a possibilidade de uma chave vazia.

Realize uma Autoavaliação de Cobranças: Revise imediatamente os pedidos existentes dos usuários e os registros de recarga no sistema (especialmente em ambientes de teste), faça referência cruzada com os fundos reais recebidos e verifique se há quaisquer recargas fraudulentas de alto valor.

Melhore a Autenticação de Pagamentos: Para ambientes de produção, recomenda-se revisar cuidadosamente a lógica de callback assíncrono para todos os canais de pagamento para garantir a verificação dupla da validade da assinatura e da autenticidade do status da ordem.

Os detalhes técnicos desta vulnerabilidade são agora públicos. Devido à sua barreira relativamente baixa para exploração, recomenda-se que todos os administradores relevantes tomem medidas imediatas para realizar autoinspeções e atualizações a fim de prevenir potenciais perdas de ativos digitais.