CVE-2026-63732 in 9router
الملخص
بحسب VulDB • 23/07/2026
يحتوي 9router الإصدار 0.4.59 (تم إصلاحه في الإصدار 0.4.60) على سلسلة من نقاط الضعف: كلمة مرور افتراضية ثابتة (123456) تتيح المصادقة لأي تثبيت جديد، وتجاوز لبوابة الشبكة LOCAL_ONLY عبر رأس Host مزيف، وتمرير وسائط غير مدققة إلى دالة child_process.spawn() عند تسجيل إضافات MCP. يمكن لمهاجم عن بُعد وغير مُصَدَّق عليه تسجيل الدخول باستخدام بيانات الاعتماد الافتراضية، وزرع رأس Host للوصول إلى المسارات المحلية فقط (local-only routes)، وتسجيل إضافة MCP خبيثة (مثل node -e) لتحقيق تنفيذ عشوائي للأوامر على نظام التشغيل المضيف عند تفعيل نقطة نهاية SSE الخاصة بالإضافة.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.