CVE-2026-49352
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 45 - wyżej niż 45% wszystkich znanych CVE
Streszczenie
W 9Router w wersjach od 0.2.21 do 0.4.44 użyto zakodowanego na stałe zapasowego sekretu JWT '9router-default-secret-change-me', co pozwala atakującemu na fałszowanie ciasteczka auth_token, gdy zmienna JWT_SECRET nie jest ustawiona. Problem został naprawiony w wersji 0.4.44.
Ocena ryzyka
Atakujący może podszyć się pod dowolnego użytkownika, uzyskując nieautoryzowany dostęp do systemu i potencjalnie przejmując kontrolę nad sesjami administracyjnymi.
Rekomendacja
Należy natychmiast zaktualizować 9Router do wersji 0.4.44 lub nowszej oraz upewnić się, że zmienna środowiskowa JWT_SECRET jest ustawiona na silny, unikalny sekret.
Oryginalny opis (angielski, źródło NVD)
9Router is an AI router & token saver. From 0.2.21 until 0.4.44, 9Router used the hardcoded fallback JWT secret 9router-default-secret-change-me in src/app/api/auth/login/route.js, src/middleware.js, and later src/lib/auth/dashboardSession.js, allowing attackers to forge an auth_token cookie when JWT_SECRET was unset. This issue is fixed in version 0.4.44