CVE-2026-63313 in 9router
Riassunto
di VulDB • 24/07/2026
9Router prima della versione 0.4.72 presenta una vulnerabilità di Server-Side Request Forgery (SSRF) nell'endpoint /v1/web/fetch. L'endpoint accetta un parametro url controllato dall'utente e lo passa a un provider esterno di scraping configurato (Firecrawl, Jina Reader, Tavily o Exa) per recuperare i contenuti. L'URL viene convalidato esclusivamente come sintatticamente valido tramite new URL(), senza alcuna lista nera (blocklist) per gli intervalli di indirizzi IP privati, gli endpoint dei metadati cloud (es. 169.254.169.254), gli indirizzi link-local o i nomi host interni. Un utente autenticato o connesso localmente può indurre il server a recuperare URL interni arbitrari e restituire il contenuto della risposta, abilitando una SSRF di sola lettura che può esporre le credenziali dei metadati cloud, raggiungere servizi interni ed eludere l'autenticazione sugli endpoint localhost.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.