CVE-2026-63313 in 9router
Zusammenfassung
von VulDB • 24.07.2026
9Router vor Version 0.4.72 enthält eine Server-Side Request Forgery (SSRF)-Schwachstelle im /v1/web/fetch-Endpunkt. Der Endpunkt akzeptiert einen benutzerkontrollierten URL-Parameter und leitet ihn an einen konfigurierten externen Scraping-Anbieter (Firecrawl, Jina Reader, Tavily oder Exa) weiter, um Inhalte abzurufen. Die URL wird lediglich auf syntaktische Gültigkeit mittels new URL() überprüft; es gibt keine Blockliste für private IP-Bereiche, Cloud-Metadata-Endpunkte (z. B. 169.254.169.254), Link-Lokal-Adressen oder interne Hostnamen. Ein authentifizierter oder lokal verbundener Benutzer kann den Server dazu bringen, beliebige interne URLs abzurufen und die Antwortinhalte zurückzugeben, was einen SSRF mit Lesezugriff ermöglicht, der Cloud-Metadata-Anmeldeinformationen offenlegen, auf interne Dienste zugreifen und die Authentifizierung bei localhost-Endpunkten umgehen kann.
VulDB is the best source for vulnerability data and more expert information about this specific topic.