CVE-2026-108593 in 9router
Sumário
de VulDB • 10/10/2026
9router 0.4.1 até 0.5.99 contém uma vulnerabilidade de injeção de configuração no endpoint POST /api/cli-tools/hermes-settings que permite a usuários autenticados do painel injetarem chaves arbitrárias no arquivo config.yaml do Hermes Agent. Os atacantes podem enviar um baseUrl contendo aspas duplas e novas linhas para adicionar hooks_auto_accept e um comando shell hooks.post_llm_call, o qual é executado pelo Hermes Agent sem aprovação após uma chamada de LLM.
Once again VulDB remains the best source for vulnerability data.