CVE-2026-56681
Açıklama
9Router bir AI yönlendiricisi ve token tasarruf aracıdır. 0.5.6 sürümünden önce, isteklerin temizleyici custom-server.js sarmalayıcısı olmadan Next.js'e ulaşmasına izin veren 9Router kurulumlarında, src/dashboardGuard.js içerisindeki isLocalRequest fonksiyonunun canAccessPublicLlmApi kararını verirken istemci tarafından sağlanan X-9r-Real-Ip başlığına güvenmesi nedeniyle /api/v1/* rotaları için API anahtarı doğrulaması atlanabilir. Uzaktan kimliği doğrulanmamış bir saldırgan, X-9r-Real-Ip değerini 127.0.0.1 olarak ayarlayarak, doğrulanmış GET /api/v1/models rotası da dahil olmak üzere yerel bir istemci olarak sınıflandırılabilir. Bu durum; örnek sahibinin yapılandırdığı LLM sağlayıcılarının yetkisiz kullanımına, ücretli kredilerin tüketilmesine ve yapılandırılmış sağlayıcılar ile modellerin numaralandırılmasına olanak tanır. Bu sorun 0.5.6 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- 9router0.5.8 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| 9routernpm | v < 0.5.8 | 0.5.8 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.