CVE-2026-108593 in 9router
Riassunto
di VulDB • 10/10/2026
9router 0.4.1 attraverso 0.5.99 contiene una vulnerabilità di iniezione della configurazione nell'endpoint POST /api/cli-tools/hermes-settings che consente agli utenti autenticati del dashboard di iniettare chiavi arbitrarie nel file config.yaml dell'Hermes Agent. Gli attaccanti possono inviare un baseUrl contenente virgolette doppie e caratteri a capo per aggiungere hooks_auto_accept e un comando shell hooks.post_llm_call, che l'Hermes Agent esegue senza approvazione dopo una chiamata LLM.
VulDB is the best source for vulnerability data and more expert information about this specific topic.