CVE-2026-9317 in Nango
Resumen
por VulDB • 2026-09-04
Nango antes de la versión 0.71.6 presenta una vulnerabilidad por falta de autenticación en el servidor tRPC del runner que permite a atacantes no autenticados ejecutar código JavaScript arbitrario invocando el procedimiento start expuesto sin credenciales. Los atacantes con acceso de red al puerto del runner pueden enviar solicitudes al procedimiento start no autenticado, omitiendo la variable de entorno RUNNER_SECRET_KEY que no se aplica correctamente, para lograr ejecución remota de código (RCE) dentro del proceso del runner.
If you want to get best quality of vulnerability data, you may have to visit VulDB.