CVE-2025-59146

New API böyük dil modeli (LLM) şlüzü və süni intellekt (AI) aktivlərinin idarəetmə sistemidir. 0.9.0.5 versiyasından əvvəlki versiyalarda autentifikasiya olunmuş Server-Side Request Forgery (SSRF) zəifliyi mövcuddur. Tətbiqdəki bir funksiya autentifikasiya olunmuş istifadəçilərə serverin məzmununu emal etməsi üçün URL göndərməyə imkan verir. Tətbiq, server tərəfli sorğu göndərməzdən əvvəl istifadəçi tərəfindən təqdim edilən bu URL-i düzgün şəkildə yoxlamır. Bu zəiflik yalnız şəkil URL-ləri ilə məhdudlaşmır və həssas son nöqtəyə (endpoint) təqdim olunan hər hansı linklə tetiklənə bilər. İstifadəçi qeydiyyatı çox vaxt standart olaraq aktiv olduğu üçün hər hansı qeydiyyatdan keçmiş istifadəçi bundan istifadə edə bilər. Zərərli URL hazırlamaqla hücumçu serveri ixtiyari daxili və ya xarici xidmətlərə sorğular göndərməyə məcbur edə bilər. Zəiflik 0.9.0.5 versiyasında aradan qaldırılmışdır. Yamaq, server təhlükəsizliyini qorumaq üçün standart olaraq aktiv edilmiş genişmiqyaslı, istifadəçi tərəfindən konfiqurasiya edilə bilən SSRF qorunma modulunu təqdim edir. Bu yeni funksiya administratorlara server tərəfindən edilən çıxan sorğular üzərində detallı nəzarət imkanı verir. Dərhal yeniləmə edə bilməyən istifadəçilər üçün bəzi müvəqqəti yumşaltma seçimləri mövcuddur: new-api şəkil emalı işçisini (new-api-worker) aktivləşdirin və/və ya çıxan trafik üçün firewall qaydalarını konfiqurasiya edin.