CVE-2026-62327
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
9Router w wersji do 0.4.41 zawiera nieuwierzytelnioną podatność na ujawnienie informacji, która pozwala zdalnym atakującym na pobranie kluczy API w postaci jawnego tekstu dla wszystkich podłączonych kont dostawców AI poprzez wysłanie pojedynczego żądania do punktu końcowego /api/usage/stats. Atakujący mogą wykorzystać brakujące oprogramowanie pośredniczące uwierzytelniania na trasie API Next.js, aby uzyskać pełne ciągi kluczy API wraz z liczbą tokenów, podziałem kosztów i metadanymi żądań.
Ocena ryzyka
Ryzyko dla organizacji obejmuje nieautoryzowane użycie podłączonych kont dostawców AI, oszustwa związane z rozliczeniami oraz wyczerpanie limitów zapytań, co może prowadzić do znacznych strat finansowych i zakłóceń w działaniu usług.
Rekomendacja
Zaleca się natychmiastową aktualizację 9Router do najnowszej wersji, która usuwa tę podatność, oraz wdrożenie uwierzytelniania na wszystkich wrażliwych punktach końcowych API.
Oryginalny opis (angielski, źródło NVD)
9Router through version 0.4.41 contains an unauthenticated information disclosure vulnerability that allows remote attackers to retrieve plaintext API keys for all connected AI provider accounts by sending a single unauthenticated request to the /api/usage/stats endpoint. Attackers can exploit the missing authentication middleware on the Next.js API route to obtain full API key strings alongside token counts, cost breakdowns, and request metadata, enabling unauthorized use of connected AI provider accounts, billing fraud, and quota exhaustion.