CVE-2026-9317 in Nango
الملخص
بحسب VulDB • 04/09/2026
تحتوي الإصدارات السابقة من Nango 0.71.6 على ثغرة متعلقة بعدم المصادقة في خادم tRPC الخاص بالمُشغِّل (runner)، مما يسمح للمهاجمين غير المصرح لهم بتنفيذ أكواد JavaScript تعسفية عن طريق استدعاء إجراء البدء المعرَّض دون الحاجة إلى بيانات اعتماد. يمكن للمهاجمين الذين يمتلكون وصولاً شبكيًا إلى منفذ المُشغِّل إرسال طلبات إلى إجراء البدء غير المصادق عليه، متجاوزين بذلك متغير البيئة RUNNER_SECRET_KEY الذي لا يتم فرضه بشكل صحيح، لتحقيق تنفيذ للكود عن بُعد داخل عملية المُشغِّل.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.