Критическая ошибка в новой системе API приводит к несанкционированному бесплатному использованию незащищенных ключей

Отчет AIbase от 16 апреля 2026 года — Широко используемая система агрегации и управления интерфейсами крупных ИИ-моделей QuantumNous/new-api (более известная как NewAPI), популярная среди сообществ разработчиков открытого кода и администраторов веб-сайтов, была признана содержащей уязвимость высокого риска в своей логике оплаты. Если ключ оплаты Stripe не настроен правильно, злоумышленники могут подделать события Webhook, чтобы обойти фактический процесс оплаты и осуществить перезарядку на произвольную сумму «без каких-либо затрат».

Методы атаки и стратегии устранения этой уязвимости вызвали обширные дискуссии на форумах разработчиков и в публичных технических сообществах, таких как X (ранее Twitter). Учитывая, что система часто используется в коммерческих целях или для расчетов на основе токенов, автор уязвимости временно не обнародовал полный код эксплойта, чтобы предотвратить злоупотребления и потенциальные финансовые убытки.

Анализ принципов уязвимости

NewAPI — это система управления, обрабатывающая функции промежуточной обработки, расчетов и перезарядок для интерфейсов крупных ИИ-моделей, таких как OpenAI и Claude. Суть выявленной уязвимости заключается в недостаточно строгой проверке пустых ключей Stripe в логике обратного вызова после успешной оплаты (асинхронная обработка Webhook).

Согласно анализу траектории атак, распространенному в технических сообществах, если на стороне сервера ключ webhook_secret Stripe не настроен (то есть оставлен пустым строкой), это приводит к серьезной потере доверия:

Неудача механизма подписи: Алгоритм HMAC-SHA256 не выдает ошибку при обработке пустого ключа. Это позволяет злоумышленникам создать поддельную подпись, идеально соответствующую логике проверки сервера для пользовательского данных.

Создание вредоносного события: Злоумышленникам достаточно получить или угадать формат номера заказа, чтобы подделать событие checkout.session_completed и установить произвольно большую сумму перезарядки в пакете данных.

Перевод средств без фактической оплаты: После отправки поддельного запроса на серверный endpoint Webhook, сервер проверяет подпись с использованием пустого ключа. В случае успешной проверки система ошибочно рассматривает это как легитимный заказ и переводит средства на счет злоумышленника.

Итоговый результат: Stripe не получает никаких платежей, и в официальной доске контроля Stripe не появляются записи о транзакциях. Однако в логах сервера отображаются обычные ответные вызовы Webhook, и баланс счета злоумышленника увеличивается.

Область влияния уязвимости

Эта уязвимость влияет только на случаи, когда ключ Stripe Secret Key не настроен правильно. Многие администраторы пренебрегают настройкой этого ключа при создании тестовых сред или когда их сайты в основном используют другие способы оплаты (например, WeChat или Alipay) и не применяют модуль Stripe, что делает их уязвимыми.

Официальные исправления и рекомендации

В ответ на этот серьезный риск безопасности команда проекта быстро отреагировала и выпустила самую последнюю версию v0.12.10 сегодня. В журнале обновлений четко указано направление исправлений: «Улучшена обработка платежей через Stripe для лучшего обращения с асинхронными событиями Webhook», что решает проблему с проверкой обратных вызовов на фундаментальном уровне.

Эксперты по безопасности настоятельно рекомендуют всем пользователям NewAPI предпринять следующие действия:

Немедленное обновление: Обновите свою версию до последней v0.12.10 или более новой (рекомендуется использовать прямую ссылку на последнюю версию или ежедневную сборку).

Обязательная настройка ключа: Даже если ваш сайт не планирует использовать платежи через Stripe, после обновления необходимо настроить ключ Stripe Secret Key в backend. Рекомендуется использовать случайно сгенерированный сильный пароль или строго контролировать его с помощью переменных окружения, чтобы исключить возможность использования пустого ключа.

Проведение самопроверки расчетов: Немедленно проверьте существующие заказы пользователей и записи о перезарядках в системе (особенно в тестовых средах), сравните их с фактически полученными средствами и проверьте на наличие мошеннических операций с большими суммами.

Улучшение аутентификации платежей: Для производственных сред рекомендуется тщательно проверить логику асинхронных обратных вызовов для всех каналов оплаты, чтобы обеспечить двойную проверку как подлинности подписи, так и статуса заказа.

Технические детали этой уязвимости теперь доступны общественности. Учитывая относительно низкий порог ее эксплуатации, рекомендуется всем соответствующим администраторам немедленно приступить к самопроверке и обновлениям, чтобы предотвратить потенциальные убытки цифровых активов.