CVE-2026-64865

Nome do Software Vulnerável e Versões Afetadas New API versões anteriores a 1.0.0-rc.16

Description Um usuário autenticado pode burlar a aplicação de cotas, potencialmente causando prejuízo financeiro aos operadores. O problema ocorre quando requisições repetidas ao endpoint 'PUT /api/user/self' são utilizadas para atualizar language ou sidebar modules enquanto requisições de relay consomem a cota simultaneamente. A função UpdateSelf em controller/user.go chama User.Update(), que aciona o updateUserCache para realizar uma gravação completa RedisHSetObj no cache user:.Quota. Esse processo sobrescreve deduções HINCRBY concorrentes (incrementos/decrementos atômicos usados para faturamento), permitindo que a cota em cache permaneça artificialmente alta.

Recommendations Atualize para a versão 1.0.0-rc.16 ou posterior e reinicie as instâncias da aplicação para remover caminhos de código obsoletos em processo. Como medida paliativa temporária, restrinja ou limite a taxa de requisições (rate-limit) ao endpoint 'PUT /api/user/self' para evitar atualizações frequentes de configurações de usuário enquanto o cache de cota baseado em Redis estiver habilitado.