PT-2026-57884 · 9Router · 9Router
Publicado
2026-07-13
·
Atualizado
2026-07-13
·
CVE-2026-59801
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
9Router versões anteriores a 0.4.42
Descrição
Um problema de acesso não autenticado existe devido à ausência de middleware de autenticação nas rotas de API do Next.js localizadas em
src/app/api/providers/*. Isso permite que atacantes remotos interajam com os endpoints da API de gerenciamento de provedores sem credenciais. A exploração permite a enumeração, criação, modificação ou exclusão de conexões de provedores, o que pode levar à exposição de credenciais parciais, tokens OAuth e chaves de API. Além disso, atacantes podem redirecionar o tráfego de IA para servidores sob seu controle ou causar a negação total de serviço ao excluir todas as conexões de provedores.Recomendações
Atualize o 9Router para a versão 0.4.42 ou posterior.
Restrinja o acesso aos endpoints da API
src/app/api/providers/* como uma medida de mitigação temporária.Correção
Missing Authentication
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
9Router