CVE-2025-59146

New API, bir büyük dil modeli (LLM) ağ geçidi ve yapay zeka (AI) varlık yönetim sistemidir. 0.9.0.5 öncesi sürümlerde kimlik doğrulaması gerektiren bir Sunucu Taraflı İstek Sahteciliği (SSRF) zafiyeti bulunmaktadır. Uygulama içindeki bir özellik, kimliği doğrulanmış kullanıcıların sunucunun içeriğini işlemesi için bir URL göndermesine izin vermektedir. Uygulama, sunucu taraflı bir istek yapmadan önce kullanıcı tarafından sağlanan bu URL'yi düzgün şekilde doğrulamamaktadır. Bu zafiyet yalnızca resim URL'leri ile sınırlı değildir ve savunmasız uç noktaya sağlanan herhangi bir bağlantı ile tetiklenebilir. Kullanıcı kaydı genellikle varsayılan olarak etkin olduğundan, kayıtlı herhangi bir kullanıcı bunu istismar edebilir. Kötü niyetli bir URL oluşturarak saldırgan, sunucuyu rastgele dahili veya harici servislere istek göndermeye zorlayabilir. Zafiyet 0.9.0.5 sürümünde giderilmiştir. Yama, sunucu güvenliğini korumak için varsayılan olarak etkinleştirilmiş kapsamlı ve kullanıcı tarafından yapılandırılabilir bir SSRF koruma modülü getirmektedir. Bu yeni özellik, yöneticilere sunucu tarafından yapılan giden istekler üzerinde ayrıntılı kontrol sağlar. Hemen yükseltme yapamayan kullanıcılar için bazı geçici hafifletme seçenekleri mevcuttur: new-api görüntü işleme çalışanını (new-api-worker) etkinleştirin ve/veya çıkış güvenlik duvarı kurallarını yapılandırın.