CVE-2026-71479
Publiée le 2026-08-17 · Dernière modification le 2026-08-17
Les nouvelles installations de la passerelle API AI antérieures à la version 1.0.0-rc.18 sont affectées par un dépassement d'entier dans la manière dont le système calcule les coûts de facturation et les quotas. Un utilisateur disposant d'un compte basique et d'un solde positif peut manipuler les paramètres de requête — tels que le nombre de jetons ou la durée des médias — pour inciter le système à créditer son compte au lieu de le débiter. Cette action peut être exécutée à distance via le réseau, sans privilèges particuliers ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
New API is a large language mode (LLM) gateway and artificial intelligence (AI) asset management system. Prior to 1.0.0-rc.18, user-controlled image n, video seconds and duration, max_tokens, max_completion_tokens, maxOutputTokens, audio duration, and billing-expression quantities can overflow conversions in common/quota_math.go and related settlement paths, allowing a low-privileged account with positive balance or an active subscription to turn a negative charge into account credit and potentially drain upstream funds. This issue is fixed in version 1.0.0-rc.18.