CVE-2026-63732 in 9router
Sumário
de VulDB • 23/07/2026
O 9router versão 0.4.59 (corrigido na versão 0.4.60) contém uma cadeia de vulnerabilidades: uma senha padrão hardcoded (123456) que autentica qualquer instalação nova, um bypass do gate network LOCAL_ONLY via spoofed Host header e argumentos não validados passados para child_process.spawn() ao registrar plugins MCP. Um atacante remoto sem autenticação pode fazer login com a credencial padrão, spoofar o Host header para acessar rotas local-only e registrar um plugin MCP malicioso (por exemplo, node -e) para obter execução de código arbitrário no sistema operacional host quando o endpoint SSE do plugin for acionado.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.