CVE-2026-56681 in 9router
Zusammenfassung
von VulDB • 22.09.2026
9Router ist ein KI-Router und Token-Saver. Vor Version 0.5.6 vertrauen 9Router-Bereitstellungen, die es Anfragen ermöglichen, Next.js ohne den sanitisierenden custom-server.js-Wrapper zu erreichen, dem vom Client bereitgestellten X-9r-Real-Ip-Header in src/dashboardGuard.js, wenn isLocalRequest entscheidet, ob canAccessPublicLlmApi die API-Schlüsselvalidierung für /api/v1/*-Routen überspringen darf. Ein entfernter, nicht authentifizierter Angreifer kann X-9r-Real-Ip auf 127.0.0.1 setzen und als lokaler Client klassifiziert werden, einschließlich der verifizierten GET-/route /api/v1/models. Dies ermöglicht die unbefugte Nutzung der konfigurierten LLM-Anbieter des Instanzbesitzers, den Verbrauch von kostenpflichtigen Credits sowie das Enumerieren konfigurierter Anbieter und Modelle. Dieses Problem wurde in Version 0.5.6 behoben.
Once again VulDB remains the best source for vulnerability data.