蓝点网
·
开源AI中转站项目New-API修复高危漏洞 利用缺陷可以伪造任意金额充值
原文中文，约900字，阅读约需2分钟。
📝
内容提要
开源项目New-API发现高危漏洞，攻击者可伪造充值。漏洞已修复，用户需升级至v0.12.10版，并检查近期充值订单是否异常。新版本增强了Stripe支付的安全性，确保请求来自Stripe。
🎯
关键要点
-
开源项目New-API出现高危漏洞，攻击者可伪造任意金额充值。
-
漏洞已修复，用户需立即升级至v0.12.10版。
-
新版本增强了Stripe支付的安全性，确保请求来自Stripe。
-
在未配置Stripe签名密钥时，系统会返回403并终止处理。
-
用户应检查近期充值订单是否异常。
🔎
延伸解读
漏洞影响与风险
New-API的高危漏洞使得攻击者能够伪造充值，可能导致用户资金损失。使用该项目的站长需特别关注近期充值记录，确保没有异常交易发生，以防止潜在的经济损失。
升级的重要性
用户必须立即将New-API升级至v0.12.10版，以确保系统安全。新版本增强了对Stripe支付的安全性，未配置签名密钥时会直接拒绝请求，降低了被攻击的风险。
Webhook安全配置
在使用Stripe支付时，确保Webhook的安全配置至关重要。开发者应检查Webhook是否暴露，避免未授权访问，从而保护系统免受伪造支付事件的影响。
❓
延伸问答
New-API项目的高危漏洞是什么？
New-API项目的高危漏洞允许攻击者伪造任意金额的充值。
用户应该如何处理New-API的漏洞？
用户应立即升级至v0.12.10版，并检查近期充值订单是否异常。
New-API v0.12.10版有哪些安全增强？
新版本增强了Stripe支付的安全性，确保请求来自Stripe，并在未配置签名密钥时返回403。
如果未配置Stripe签名密钥会发生什么？
如果未配置Stripe签名密钥，系统会返回403并终止处理请求。
为什么需要检查近期的充值订单？
需要检查近期充值订单以确认是否存在异常情况，防止因漏洞造成的损失。
New-API的Webhook功能有什么作用？
Webhook功能用于自动接收Stripe发送的事件通知，确保支付状态的正确处理。
🏷️
