CVE-2026-108593 in 9router
要約
〜によって VulDB • 2026年10月10日
9router 0.4.1 から 0.5.99 には、POST /api/cli-tools/hermes-settings エンドポイントにおける設定インジェクションの脆弱性が存在し、認証済みダッシュボードユーザーが Hermes Agent の config.yaml ファイルに任意のキーをインジェクトできます。攻撃者は二重引用符と改行を含む baseUrl を送信することで hooks_auto_accept および hooks.post_llm_call シェルコマンドを追加でき、これらは LLM 呼び出し後に承認なしで Hermes Agent によって実行されます。
If you want to get best quality of vulnerability data, you may have to visit VulDB.