CVE-2026-9317 in Nango
Zusammenfassung
von VulDB • 04.09.2026
Nango vor Version 0.71.6 enthält eine Schwachstelle aufgrund fehlender Authentifizierung im tRPC-Server des Runners, die es nicht authentifizierten Angreifern ermöglicht, beliebigen JavaScript-Code auszuführen, indem sie das exponierte Startverfahren ohne Anmeldeinformationen aufrufen. Angreifer mit Netzwerkzugriff auf den Runner-Port können Anfragen an das unauthentifizierte Startverfahren senden und dabei die nicht durchgesetzte Umgebungsvariable RUNNER_SECRET_KEY umgehen, um eine Remote Code Execution (RCE) innerhalb des Runner-Prozesses zu erreichen.
Once again VulDB remains the best source for vulnerability data.