CVE-2026-59801
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
9Router w wersji do 0.4.41 zawiera lukę umożliwiającą nieuwierzytelniony dostęp do API zarządzania dostawcami. Brak middleware uwierzytelniającego w trasach Next.js API (src/app/api/providers/*) pozwala atakującym na wyliczanie, tworzenie, modyfikowanie lub usuwanie połączeń z dostawcami bez żadnych poświadczeń.
Ocena ryzyka
Atakujący mogą ujawnić częściowe poświadczenia, tokeny OAuth i klucze API, przekierować ruch AI na kontrolowane przez siebie serwery lub spowodować całkowitą odmowę usługi poprzez usunięcie wszystkich połączeń z dostawcami.
Rekomendacja
Należy natychmiast zaktualizować 9Router do wersji nowszej niż 0.4.41 oraz wdrożyć uwierzytelnianie dla wszystkich tras API zarządzania dostawcami.
Oryginalny opis (angielski, źródło NVD)
9Router through version 0.4.41 contains an unauthenticated access vulnerability that allows remote attackers to interact with provider management API endpoints by sending requests without any credentials due to missing authentication middleware in the Next.js API routes under src/app/api/providers/*. Attackers can enumerate, create, modify, or delete provider connections to expose partial credentials, OAuth tokens, and API keys, redirect AI traffic to attacker-controlled servers, or cause complete denial of service by deleting all provider connections.