CVE-2026-9317
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
Podatność w Nango przed wersją 0.71.6 polega na braku uwierzytelnienia w serwerze tRPC runnera, co pozwala nieuwierzytelnionym atakującym na wykonanie dowolnego kodu JavaScript poprzez wywołanie udostępnionej procedury start bez poświadczeń. Atakujący z dostępem sieciowym do portu runnera mogą wysyłać żądania do nieuwierzytelnionej procedury start, omijając niewymuszoną zmienną środowiskową RUNNER_SECRET_KEY, co prowadzi do zdalnego wykonania kodu w procesie runnera.
Ocena ryzyka
Organizacja narażona jest na zdalne wykonanie kodu w procesie runnera, co może prowadzić do przejęcia kontroli nad środowiskiem uruchomieniowym, kradzieży danych lub dalszego ataku na infrastrukturę. Podatność może być wykorzystana bez uwierzytelnienia, jeśli port runnera jest dostępny w sieci.
Rekomendacja
Zaleca się natychmiastową aktualizację Nango do wersji 0.71.6 lub nowszej. Do czasu aktualizacji należy ograniczyć dostęp sieciowy do portu runnera i upewnić się, że zmienna RUNNER_SECRET_KEY jest ustawiona i wymuszana.
Inne podatności w Nango
Zobacz wszystkie- CVE-2026-102596Średnie
Nango to open-source platforma do łączenia agentów i produktów z API stron trzecich. Przed wersją 0.70.9, na kontach z włączonym RBAC przez plan z has_rbac=true, dwie prywatne trasy odczytu przepływu, GET /api/v1/integrations/:providerConfigKey/flows i GET /api/v1/flow/:flowName, stosują webAuth, ale pomijają can({ action: 'read', resource: 'flow', scopedBy: envScope }). Użytkownik tej samej drużyny z rolą development_full_access może zatem zażądać env=prod i odczytać metadane przepływu integracji produkcyjnej lub konfigurację nazwanego przepływu, mimo że jest odrzucany przez chronione trasy produkcyjne. Oba kontrolery używają res.locals.environment z uwierzytelnionego konta, więc problem omija granicę ról produkcyjnych, ale nie przekracza granic dzierżawcy. Problem naprawiono w wersji 0.70.9 i managed-1.5.11-0.70.8-aae30d044d7e229807d51a3957c212f3fb689e1a.
- CVE-2026-92804Wysokie
Nango do wersji 0.70.4 nie waliduje wartości konfiguracji połączenia dostarczonych przez wywołującego, które są interpolowane do szablonów tokenów dostawcy i adresów URL proxy. Uwierzytelnieni atakujący mogą podać złośliwe wartości konfiguracji, aby kierować żądania serwera na adresy wewnętrzne lub endpointy metadanych chmury, potencjalnie eksfiltrując poświadczenia dostawcy.
Oryginalny opis (angielski, źródło NVD)
Nango before 0.71.6 contains a missing authentication vulnerability in the runner tRPC server that allows unauthenticated attackers to execute arbitrary JavaScript code by invoking the exposed start procedure without credentials. Attackers with network access to the runner port can send requests to the unauthenticated start procedure, bypassing the unenforced RUNNER_SECRET_KEY environment variable, to achieve remote code execution within the runner process.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS