NewAPI 爆出高危漏洞，低于 v1.0.0-rc.18 版本请立即升级

各位折腾 API 接口和模型中转的朋友们，注意了！今天要给大家同步一个紧急的安全消息。最近 NewAPI 这个项目又爆出了一个严重级别的安全漏洞，如果你正在搭建或者维护相关的中转服务，请务必停下来检查一下你的版本号。

NewAPI 是一个常用的 API 接口中转项目

🚨 漏洞情况速览

根据最新的安全通告，该漏洞影响的范围非常明确：

• 受影响版本：所有 v1.0.0-rc.18 以下 的版本。
• 漏洞等级：严重。
• 发现者：明金同学 (@vmu)。

这意味着，如果你现在的 NewAPI 版本还停留在 rc.18 之前的测试版或者是旧版本，你的服务可能正暴露在极大的风险之中。对于跑在公网上的服务来说，这种风险简直是“裸奔”。

严重安全漏洞风险提示

🔍 潜在风险分析

虽然通告中没有过多披露漏洞的具体技术细节（这是为了防止被还没修复的人恶意利用），但“严重漏洞”这个标签通常意味着什么？作为博主，根据经验给大家拆解一下可能带来的后果：

1. 数据泄露风险：恶意攻击者可能绕过鉴权机制，直接获取你系统中的 Token、用户列表或者敏感配置。对于做 API 中转的人来说，Key 泄露是致命的。
2. RCE（远程代码执行）：最严重的情况下，攻击者可能会利用漏洞在服务器上执行任意代码，进而接管整个服务器。这就不仅仅是 API 的问题，而是整台 VPS 都可能变成肉鸡。
3. 服务中断：攻击者可能通过漏洞导致服务崩溃或者注入垃圾数据，影响正常业务的运行。

所以，千万不要抱有侥幸心理，觉得“没人会盯着我的小站”。黑客的扫描器可是 24 小时不停歇的。

🛠️ 紧急修复方案

既然问题这么严重，解决办法其实很简单——升级。

1. 确认当前版本

首先登录你的管理后台或者查看 Docker 容器信息，确认一下你当前的版本号。如果显示的版本号小于 v1.0.0-rc.18，那就必须立刻行动。

2. 执行升级

如果你是 Docker 部署（最常见）：

拉取最新镜像并重启容器即可。通常命令如下（请根据你实际的部署命令调整）：

docker pull calciumion/new-api:latest
docker stop <容器名>
docker rm <容器名>
docker run -d --name new-api --restart=always ... (此处补充你原先的启动参数) calciumion/new-api:latest

或者如果是使用 Docker Compose，直接修改镜像 tag 为最新版本后执行：

docker-compose pull
docker-compose up -d

如果你是源码部署：

进入项目目录，拉取最新代码并重新构建：

git pull
# 根据项目文档重新编译或安装依赖
npm run build 或 go build (视语言而定)
# 重启服务

3. 验证修复

升级完成后，再次查看后台或版本信息，确保版本号已经更新到 v1.0.0-rc.18 或以上。

💡 避坑指南与建议

• 不要忽略备份：在任何升级操作之前，务必备份好你的数据库（通常是 SQLite 或 MySQL）以及配置文件。虽然升级通常是安全的，但数据无价，小心驶得万年船。
• 关注官方动态：像 NewAPI 这种工具更新迭代很快，尤其是涉及鉴权和接口变动的时期。建议大家 Star 一下官方仓库，或者关注相关的技术社区，第一时间获取安全动态。
• 定期检查日志：升级后，不妨翻一下系统日志，看看有没有异常的访问记录。如果发现可疑 IP，可以考虑在防火墙层面进行封禁。

📝 总结

安全无小事，特别是在当前 AI 各种 Key 飞涨、黑灰产猖獗的环境下。一个严重漏洞可能让你几个月的辛苦搭建和投入瞬间归零。

如果你还没升级，现在、立刻、马上就去操作吧！如果有遇到升级报错或者其他问题的朋友，欢迎在评论区留言，大家一起看看怎么解决。

祝大家的站点都能稳如泰山，永不掉线！