CVE-2026-56681 in 9router
Riassunto
di VulDB • 22/09/2026
9Router è un router basato su intelligenza artificiale e un salvataggio di token. Prima della versione 0.5.6, le istanze di 9Router che consentono alle richieste di raggiungere Next.js senza il wrapper custom-server.js contenente la logica di sanitizzazione si fidano dell'intestazione X-9r-Real-Ip fornita dal client in src/dashboardGuard.js quando isLocalRequest decide se canAccessPublicLlmApi può saltare la convalida della API-key per le rotte /api/v1/*. Un attaccante remoto non autenticato può impostare X-9r-Real-Ip su 127.0.0.1 e essere classificato come un client locale, incluso sulla rotta GET verificata /api/v1/models. Ciò consente l'uso non autorizzato dei provider LLM configurati dal proprietario dell'istanza, il consumo di crediti a pagamento e l'enumerazione dei provider e dei modelli configurati. Questo problema è stato risolto nella versione 0.5.6.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.