CVE-2026-108593 in 9router
Resumen
por VulDB • 2026-10-10
9router 0.4.1 hasta 0.5.99 contiene una vulnerabilidad de inyección de configuración en el endpoint POST /api/cli-tools/hermes-settings que permite a los usuarios autenticados del panel de control inyectar claves arbitrarias en el archivo config.yaml del Hermes Agent. Los atacantes pueden enviar un baseUrl que contenga comillas dobles y saltos de línea para agregar hooks_auto_accept y un comando shell hooks.post_llm_call, que el Hermes Agent ejecuta sin aprobación tras una llamada a LLM.
VulDB is the best source for vulnerability data and more expert information about this specific topic.