CVE-2026-71479：New API 整数溢出漏洞正在野外遭到利用

sec随谈
sec随谈

sec随谈

2026年8月18日 13:12
北京

在小说阅读器读本章

去阅读

摘要

New API 是一款广受欢迎的开源 AI API 网关，其存在的一个计费缺陷正在遭受实际攻击。该漏洞编号为 CVE-2026-71479，属于整数溢出漏洞，使得账户余额很小的用户能够为自己充值出巨额余额。项目维护团队已确认存在野外利用活动，并发布了紧急修复补丁。该漏洞 CVSS 评分为 9.1。

为何重要

New API 负责处理 AI 应用的计费与配额管理。这一 CVE-2026-71479 整数溢出漏洞破坏了计费系统的完整性——单个精心构造的请求就能将极小额度的余额转变为巨额余额。

其影响不仅仅是免费使用而已。持续的滥用行为可能耗尽运营方预付给上游服务商的资金，还可能导致计费系统及服务本身瘫痪下线。该项目在 GitHub 上拥有超过 45,000 个星标，表明其部署范围相当广泛。

已确认的利用活动

2026 年 7 月 6 日，一名社区运营者报告了正在发生的主动滥用行为。其日志显示存在大额负数扣费记录以及被严重虚增的账户余额。维护团队确认了这一攻击，并在数小时内做出响应。官方发布的 New API 安全公告完整记录了整个事件时间线。

攻击原理

多条计费路径都会将一个由用户控制的数值代入配额计算公式中进行乘法运算，而这一计算过程缺乏上限约束，也未采取防溢出的转换处理。攻击者只需提供一个极端数值（例如一个巨大的图片数量），即可触发问题。

一个无符号（unsigned）字段会接受这个\"环绕\"（wrapped）后的数值，随后的转换过程会导致数值溢出整数取值范围，变成一个巨大的负数。这一负数配额会在结算阶段生效，而非在预扣费阶段生效。结果就是扣费金额变为负数，反而给账户余额充值。

由于预扣费机制会拦截零余额账户，攻击者首先需要拥有一笔小额的正数余额作为\"种子\"。然而，免费签到奖励、邀请返利或新用户礻品等功能都可以零成本地提供这笔种子资金。一旦开启自助注册功能，大规模滥用便变得轻而易举。（本报道不包含任何可用的具体利用数值。）

受影响版本

该漏洞影响 1.0.0-rc.17 及之前的所有 New API 版本。维护团队将其定级为严重（Critical），CVSS 评分为 9.1，漏洞分类为 CWE-190（整数溢出）。

补丁与缓解措施

请立即升级至 1.0.0-rc.18 或更高版本。1.0.0-rc.19 版本还新增了配额饱和预警日志功能，便于后续审计排查。

完成升级后，应检查日志中是否存在负数消费记录，同时排查账户余额是否存在异常虚增的情况并加以修正。请特别关注那些在免费余额相关功能开启期间进行批量注册的账户，并冻结或收回通过此类滥用行为获得的任何余额。

参考链接：

https://github.com/QuantumNous/new-api/security/advisories/GHSA-8r8v-xf7q-rcpr