首页新API系统中的严重漏洞导致未加密密钥可被无限量免费使用
AIbase报告，2026年4月16日 —— 广泛应用的AI大模型接口聚合管理系统QuantumNous/new-api（通常被称为NewAPI）在开源社区和自托管网站管理员中非常受欢迎，但现已确认其支付逻辑存在一个高风险的漏洞。当Stripe支付密钥配置不正确时，攻击者可以伪造Webhook事件来绕过实际的支付流程，从而实现“零成本”地充值任意金额。
这一漏洞的攻击手段和应对策略在开发者论坛以及X（前身为Twitter）等公共技术社区引发了广泛讨论。由于该系统常被用于商业运营或基于代币的计费场景，因此发现者暂时未公开完整的概念验证攻击代码，以防止恶意利用和潜在的财务损失。
漏洞原理分析
NewAPI是一个管理系统，负责处理OpenAI、Claude等大模型接口的中间处理、计费和充值功能。此次暴露的漏洞核心在于其在支付成功回调（异步Webhook处理逻辑）中未能严格验证空字符串形式的Stripe密钥。
根据技术社区流传的攻击流程分析，当服务器端的Stripe webhook_secret未配置（即为空字符串）时，就会导致严重的信任危机：
签名机制失效：HMAC-SHA256算法在处理空密钥时不会生成错误，这使得任何攻击者都能计算出与服务器验证逻辑完全匹配的伪造签名。
构造恶意事件：攻击者只需获取或猜出订单编号格式，就可以伪造checkout.session_completed事件，并在数据包中设置任意高的amount_total（充值金额）。
未经实际支付即可完成资金扣款：将伪造请求发送到服务器的Webhook端点后，服务器会使用空密钥来验证签名。一旦验证通过，系统就会错误地将其视为有效的已支付订单，并将资金存入攻击者的账户余额中。
最终结果：Stripe实际上没有收到任何资金，官方的Stripe控制面板中也不会出现任何交易记录。但服务器日志会显示正常的Webhook回调信息，而攻击者的账户余额确实增加了。
漏洞影响范围
这一漏洞仅适用于那些Stripe密钥配置不当的情况。许多管理员在设置测试环境时，或者当他们的网站主要依赖其他支付方式（如微信或支付宝）而不使用Stripe模块时，往往会忽略配置这一密钥，因此他们极易受到攻击。
官方修复方案与建议
针对这一严重的安全风险，项目团队迅速采取了行动，于今日发布了最新的v0.12.10版本。更新日志明确指出了修复方向：“优化了Stripe支付处理流程，以更好地应对异步Webhook事件”，从而从根本层面解决了回调验证中的安全漏洞。
安全专家强烈建议所有NewAPI用户采取以下措施：
立即升级：将您的实例升级到最新的v0.12.10或更高版本（建议直接下载最新发布的版本或夜间构建版本）。
确保密钥配置正确：即使您的网站不打算使用Stripe支付功能，在升级后也必须在后端配置Stripe密钥。建议使用随机生成的强密码字符串，或者通过环境变量来严格控制密钥的设置，从而避免出现空密钥的情况。
进行计费自我审计：立即检查系统中现有的用户订单和充值记录（尤其是在测试环境中），将这些记录与实际收到的资金进行比对，排查是否存在任何欺诈性的高额充值行为。
加强支付认证机制：对于生产环境而言，建议仔细审查所有支付渠道的异步回调逻辑，确保签名有效性和订单状态真实性都得到双重验证。
由于这一漏洞的利用门槛相对较低，因此建议所有相关管理员立即采取自我检查和升级措施，以防止潜在的数字资产损失。
相关文章
Lovable Leads Atech's Seed Round as AI Ambient Coding Officially Enters the Hardware Field
2026年5月14日，AI应用开发平台Lovable宣布参与丹麦硬件初创公司Atech的80万美元种子轮融资。该轮由Lovable领投，吸引了包括a16z Scout Fund、Sequoia Scout Fund以及Nordic Makers在内的顶级风险投资机构。此次投资标志着Lovable将“Vibe Coding”概念从纯软件开发战略扩展至硬件工程领域。Atech旨在通过AI驱动的交互式平台简化复杂的硬件原型制作。用户购买基础硬件套件，并通过AI聊天机器人以自然语言描述其设计概念；系统
Anthropic 将 Claude AI 编码工具扩展至日本，以推动海外增长
Anthropic，一家美国知名的人工智能公司，正加强其全球推广力度。周三，该公司在东京举办了一场大型开发者活动“Code with Claude”，吸引了近500名软件工程师参加。该举措旨在积极将Claude AI工具及相关产品引入日本市场，强调其自主编码能力在提升企业生产力方面的核心优势。强调自动化代码生成在活动中，Anthropic展示了其先进的自主编码系统，该系统能够独立处理复杂的编程任务并优化现有代码结构。随着全球对高效开发工具的需求不断增长，Anthropic希望通过此类活动加强
印度软件巨头缩减招聘，承诺随着 AI 代理规模扩大不裁员
随着人工智能重塑传统的劳动密集型商业模式，印度领先的软件外包公司塔塔咨询服务公司（TCS）公布了其战略应对措施。在周二的年度股东大会上，董事长概述了人机协作的愿景，并澄清了公司在人工智能时代的人力资源战略。不裁员，但招聘将放缓TCS董事长明确表示，公司没有因采用人工智能而裁员的计划，尽管整体招聘速度将放缓。虽然TCS此前减少了超过10,000名员工，但官员们强调，公司现在更倾向于通过自然流失来优化其人员结构，而非突然裁员。高层管理人员指出，以前由人类处理的重复性、机械性任务正不可避免地转向
相关专题推荐
设计与艺术
最适合创意实验的AI风格转换工具
2026年最新最佳、评价最高的AI风格转换工具，助您开展创意实验！XIX.AI精心甄选了一系列功能强大、颠覆性的必试工具，这些工具经过实际测试和严格排名，可带来卓越的效果。这些顶级解决方案通过加速内容创作并释放无限创意潜能，帮助创作者显著提升工作效率。 立即探索，找到最适合您的工具，今天就开始创作吧！
9 个工具
xix.ai
漫画创作
最适合视觉叙事的AI对话气泡工具
2026年最新、最受欢迎的视觉叙事AI对话气泡工具现已登陆XIX.AI！这份精心精选的合集汇集了功能强大、具有颠覆性的工具，可帮助创作者提升工作效率并突破创作瓶颈。 获取免费版与付费版的对比分析，查看实际测试结果，并查阅最新排行榜，找到最适合打造引人入胜的视觉叙事的必试解决方案。立即探索，发现您的理想工具！
10 个工具
xix.ai
会议助理
顶级AI会议摘要工具：清晰追踪决策与后续跟进
2026年最新高评分最佳AI会议摘要工具，助您清晰追踪决策并轻松跟进。这份精心筛选的清单展示了功能强大、具有颠覆性的解决方案，它们通过自动化会议记录、识别关键行动项以及简化所有项目中的团队协调，显著提升工作效率。 获取免费版与付费版的对比分析，以及实际测试报告和每周更新的排行榜，助您找到最适合的工具。立即探索，释放您的AI优势！
9 个工具
xix.ai
数据分析
最佳人工智能数据清洗工具：快速处理缺失值与重复数据
2026年最新、最优秀且评分最高的AI数据清洗工具，可快速处理缺失值与重复数据问题。这份精心挑选的清单展示了那些功能强大、能带来颠覆性变革的解决方案，可显著提升工作效率。所有候选工具都经过了严格的实际应用测试，以确保其稳定性。您可以获取免费版与付费版的对比信息，找出最符合您需求的必备工具。即刻访问XIX.AI，开启您的AI优势之旅。
11 个工具
xix.ai
设计与艺术
最佳AI创意构思工具，助力艺术家突破视觉瓶颈
2026 年最新最佳顶级评分 AI 创意构思工具由 XIX.AI 精心策划，旨在帮助创作者突破视觉瓶颈并即时提升创造力。这些强大的变革性工具提供真实世界测试、详细的免费与付费对比以及每周更新的排名。发现您的完美工具，加速内容创作，并立即释放您的 AI 优势。立即探索！
14 个工具
xix.ai
音乐创作
适用于 TikTok 背景音乐、Reels 音频和创作者宣传音乐的 AI 节拍生成器
2026年最新最全的AI节拍生成器，适用于TikTok背景音乐、Reels音频及创作者宣传音乐！XIX.AI精心筛选了一系列广受好评、功能强大的革命性工具，这些工具均经过实际测试，可为各类内容创作需求提供完美的音乐。 您将在此找到详尽的免费版与付费版对比数据、每周更新的排行榜，以及不容错过的精选工具，助您激发创意并提升工作效率。立即探索，发现最适合您的工具！
11 个工具
xix.ai
评论 (1)
0/500
![RoySmith]()
Wait, so anyone can just grab those unsecured keys and use the API for free? That's a massive security hole. Hope the devs patch it ASAP before someone exploits it for something worse. 😅
AIbase报告，2026年4月16日 —— 广泛应用的AI大模型接口聚合管理系统QuantumNous/new-api（通常被称为NewAPI）在开源社区和自托管网站管理员中非常受欢迎，但现已确认其支付逻辑存在一个高风险的漏洞。当Stripe支付密钥配置不正确时，攻击者可以伪造Webhook事件来绕过实际的支付流程，从而实现“零成本”地充值任意金额。
这一漏洞的攻击手段和应对策略在开发者论坛以及X（前身为Twitter）等公共技术社区引发了广泛讨论。由于该系统常被用于商业运营或基于代币的计费场景，因此发现者暂时未公开完整的概念验证攻击代码，以防止恶意利用和潜在的财务损失。
漏洞原理分析
NewAPI是一个管理系统，负责处理OpenAI、Claude等大模型接口的中间处理、计费和充值功能。此次暴露的漏洞核心在于其在支付成功回调（异步Webhook处理逻辑）中未能严格验证空字符串形式的Stripe密钥。
根据技术社区流传的攻击流程分析，当服务器端的Stripe webhook_secret未配置（即为空字符串）时，就会导致严重的信任危机：
签名机制失效：HMAC-SHA256算法在处理空密钥时不会生成错误，这使得任何攻击者都能计算出与服务器验证逻辑完全匹配的伪造签名。
构造恶意事件：攻击者只需获取或猜出订单编号格式，就可以伪造checkout.session_completed事件，并在数据包中设置任意高的amount_total（充值金额）。
未经实际支付即可完成资金扣款：将伪造请求发送到服务器的Webhook端点后，服务器会使用空密钥来验证签名。一旦验证通过，系统就会错误地将其视为有效的已支付订单，并将资金存入攻击者的账户余额中。
最终结果：Stripe实际上没有收到任何资金，官方的Stripe控制面板中也不会出现任何交易记录。但服务器日志会显示正常的Webhook回调信息，而攻击者的账户余额确实增加了。
漏洞影响范围
这一漏洞仅适用于那些Stripe密钥配置不当的情况。许多管理员在设置测试环境时，或者当他们的网站主要依赖其他支付方式（如微信或支付宝）而不使用Stripe模块时，往往会忽略配置这一密钥，因此他们极易受到攻击。
官方修复方案与建议
针对这一严重的安全风险，项目团队迅速采取了行动，于今日发布了最新的v0.12.10版本。更新日志明确指出了修复方向：“优化了Stripe支付处理流程，以更好地应对异步Webhook事件”，从而从根本层面解决了回调验证中的安全漏洞。
安全专家强烈建议所有NewAPI用户采取以下措施：
立即升级：将您的实例升级到最新的v0.12.10或更高版本（建议直接下载最新发布的版本或夜间构建版本）。
确保密钥配置正确：即使您的网站不打算使用Stripe支付功能，在升级后也必须在后端配置Stripe密钥。建议使用随机生成的强密码字符串，或者通过环境变量来严格控制密钥的设置，从而避免出现空密钥的情况。
进行计费自我审计：立即检查系统中现有的用户订单和充值记录（尤其是在测试环境中），将这些记录与实际收到的资金进行比对，排查是否存在任何欺诈性的高额充值行为。
加强支付认证机制：对于生产环境而言，建议仔细审查所有支付渠道的异步回调逻辑，确保签名有效性和订单状态真实性都得到双重验证。
由于这一漏洞的利用门槛相对较低，因此建议所有相关管理员立即采取自我检查和升级措施，以防止潜在的数字资产损失。
Lovable Leads Atech's Seed Round as AI Ambient Coding Officially Enters the Hardware Field
2026年5月14日，AI应用开发平台Lovable宣布参与丹麦硬件初创公司Atech的80万美元种子轮融资。该轮由Lovable领投，吸引了包括a16z Scout Fund、Sequoia Scout Fund以及Nordic Makers在内的顶级风险投资机构。此次投资标志着Lovable将“Vibe Coding”概念从纯软件开发战略扩展至硬件工程领域。Atech旨在通过AI驱动的交互式平台简化复杂的硬件原型制作。用户购买基础硬件套件，并通过AI聊天机器人以自然语言描述其设计概念；系统
Anthropic 将 Claude AI 编码工具扩展至日本，以推动海外增长
Anthropic，一家美国知名的人工智能公司，正加强其全球推广力度。周三，该公司在东京举办了一场大型开发者活动“Code with Claude”，吸引了近500名软件工程师参加。该举措旨在积极将Claude AI工具及相关产品引入日本市场，强调其自主编码能力在提升企业生产力方面的核心优势。强调自动化代码生成在活动中，Anthropic展示了其先进的自主编码系统，该系统能够独立处理复杂的编程任务并优化现有代码结构。随着全球对高效开发工具的需求不断增长，Anthropic希望通过此类活动加强
印度软件巨头缩减招聘，承诺随着 AI 代理规模扩大不裁员
随着人工智能重塑传统的劳动密集型商业模式，印度领先的软件外包公司塔塔咨询服务公司（TCS）公布了其战略应对措施。在周二的年度股东大会上，董事长概述了人机协作的愿景，并澄清了公司在人工智能时代的人力资源战略。不裁员，但招聘将放缓TCS董事长明确表示，公司没有因采用人工智能而裁员的计划，尽管整体招聘速度将放缓。虽然TCS此前减少了超过10,000名员工，但官员们强调，公司现在更倾向于通过自然流失来优化其人员结构，而非突然裁员。高层管理人员指出，以前由人类处理的重复性、机械性任务正不可避免地转向
2026年最新最佳、评价最高的AI风格转换工具，助您开展创意实验！XIX.AI精心甄选了一系列功能强大、颠覆性的必试工具，这些工具经过实际测试和严格排名，可带来卓越的效果。这些顶级解决方案通过加速内容创作并释放无限创意潜能，帮助创作者显著提升工作效率。 立即探索，找到最适合您的工具，今天就开始创作吧！
9 个工具
xix.ai
2026年最新、最受欢迎的视觉叙事AI对话气泡工具现已登陆XIX.AI！这份精心精选的合集汇集了功能强大、具有颠覆性的工具，可帮助创作者提升工作效率并突破创作瓶颈。 获取免费版与付费版的对比分析，查看实际测试结果，并查阅最新排行榜，找到最适合打造引人入胜的视觉叙事的必试解决方案。立即探索，发现您的理想工具！
10 个工具
xix.ai
2026年最新高评分最佳AI会议摘要工具，助您清晰追踪决策并轻松跟进。这份精心筛选的清单展示了功能强大、具有颠覆性的解决方案，它们通过自动化会议记录、识别关键行动项以及简化所有项目中的团队协调，显著提升工作效率。 获取免费版与付费版的对比分析，以及实际测试报告和每周更新的排行榜，助您找到最适合的工具。立即探索，释放您的AI优势！
9 个工具
xix.ai
2026年最新、最优秀且评分最高的AI数据清洗工具，可快速处理缺失值与重复数据问题。这份精心挑选的清单展示了那些功能强大、能带来颠覆性变革的解决方案，可显著提升工作效率。所有候选工具都经过了严格的实际应用测试，以确保其稳定性。您可以获取免费版与付费版的对比信息，找出最符合您需求的必备工具。即刻访问XIX.AI，开启您的AI优势之旅。
11 个工具
xix.ai
2026 年最新最佳顶级评分 AI 创意构思工具由 XIX.AI 精心策划，旨在帮助创作者突破视觉瓶颈并即时提升创造力。这些强大的变革性工具提供真实世界测试、详细的免费与付费对比以及每周更新的排名。发现您的完美工具，加速内容创作，并立即释放您的 AI 优势。立即探索！
14 个工具
xix.ai
2026年最新最全的AI节拍生成器，适用于TikTok背景音乐、Reels音频及创作者宣传音乐！XIX.AI精心筛选了一系列广受好评、功能强大的革命性工具，这些工具均经过实际测试，可为各类内容创作需求提供完美的音乐。 您将在此找到详尽的免费版与付费版对比数据、每周更新的排行榜，以及不容错过的精选工具，助您激发创意并提升工作效率。立即探索，发现最适合您的工具！
11 个工具
xix.ai
Wait, so anyone can just grab those unsecured keys and use the API for free? That's a massive security hole. Hope the devs patch it ASAP before someone exploits it for something worse. 😅
