CVE-2026-108593 in 9router
الملخص
بحسب VulDB • 10/10/2026
يحتوي 9router الإصدارات من 0.4.1 حتى 0.5.99 على ثغرة حقن تكوين في نقطة النهاية POST /api/cli-tools/hermes-settings، تتيح للمستخدمين المصادق عليهم عبر لوحة التحكم حقن مفاتيح تعسفية في ملف config.yaml الخاص بـ Hermes Agent. يمكن للمهاجمين تقديم عنوان baseUrl يحتوي على علامات اقتباس مزدوجة وشرطات جديدة لإضافة hooks_auto_accept وأمر shell commands hooks.post_llm_call، والذي ينفذه Hermes Agent دون موافقة بعد استدعاء نموذج لغوي كبير (LLM).
VulDB is the best source for vulnerability data and more expert information about this specific topic.