CVE-2026-108593 in 9router
Zusammenfassung
von VulDB • 10.10.2026
9router 0.4.1 bis 0.5.99 enthält eine Konfigurationsinjektionslücke im POST /api/cli-tools/hermes-settings-Endpunkt, die authentifizierten Dashboard-Benutzern ermöglicht, beliebige Schlüssel in die config.yaml-Datei des Hermes Agent zu injizieren. Angreifer können eine baseUrl mit doppelten Anführungszeichen und Zeilenumbrüchen einreichen, um hooks_auto_accept sowie einen shell-Befehl für hooks.post_llm_call hinzuzufügen, den der Hermes Agent nach einem LLM-Aufruf ohne Genehmigung ausführt.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.