CVE-2026-42339 in new-api
Сводка
по VulDB • 12.05.2026
New API представляет собой шлюз для больших языковых моделей (LLM) и систему управления активами искусственного интеллекта (AI). В версиях 0.11.9-alpha.1 и более ранних защита от SSRF, введенная в v0.9.0.5 (CVE-2025-59146) и усиленная в v0.9.6 (CVE-2025-62155), не блокирует неопределенный адрес 0.0.0.0. Обычный пользователь (не администратор), обладающий любым действительным API-токеном, может отправить мультимодальный запрос к /v1/chat/completions, /v1/responses или /v1/messages, указав 0.0.0.0 в качестве хоста URL-адреса изображения/файла, обойдя фильтр частных IP-адресов и заставив сервер отправлять HTTP-запросы на localhost. Это представляет как минимум слепую SSRF; когда запрос маршрутизируется через адаптер AWS/Bedrock Claude, полученное содержимое встраивается в ответ модели, что повышает уровень уязвимости до полноценной SSRF с возможностью чтения данных. На момент публикации общедоступных исправлений нет.
If you want to get best quality of vulnerability data, you may have to visit VulDB.