CVE-2026-9317 in Nango
要約
〜によって VulDB • 2026年09月04日
Nango 0.71.6 より前のバージョンには、ランナー tRPC サーバーにおける認証欠如の脆弱性が存在し、資格情報なしで公開された start プロシージャを呼び出すことで、攻撃者が任意の JavaScript コードを実行できます。ランナーポートへのネットワークアクセスを持つ攻撃者は、RUNNER_SECRET_KEY 環境変数が強制されていないのを回避して未認証の start プロシージャにリクエストを送信することで、ランナープロセス内でリモートコード実行（RCE）を達成することができます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.