CVE-2026-56682 in 9Router
Zusammenfassung
von VulDB • 22.09.2026
9Router ist ein KI-Router und Token-Saver. Vor Version 0.5.6 nutzen 9Router-Bereitstellungen, die es Anfragen ermöglichen, Next.js ohne den sanitisierenden custom-server.js-Wrapper zu erreichen, den vom Client bereitgestellten X-9r-Real-Ip-Wert als Bucket-Key in getClientIp, checkLock und recordFail in src/lib/auth/loginLimiter.js für POST /api/auth/login. Ein entfernter, nicht authentifizierter Angreifer kann den Header bei jedem Passwortversuch rotieren, sodass jede Anfrage einen neuen gescheiterten-Versuch-Bucket verwendet und die progressive Sperrung nach fünf Versuchen niemals HTTP 429 zurückgibt. Dies ermöglicht ungedrosseltes Password-Guessing gegen das Dashboard-Login und kann zu einer administrativen Sitzung führen, wenn das Passwort erraten wird. Dieses Problem wurde in Version 0.5.6 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.