CVE-2026-59800

0.4.44 sürümü öncesindeki 9Router, kimlik doğrulaması gerektirmeyen POST /api/tunnel/tailscale-install uç noktasında bir OS komut enjeksiyonu zafiyeti içermektedir (bu rota dashboard ara yazılım eşleştiricisi tarafından kapsanmadığı için herhangi bir yetkilendirme kontrolü uygulanmamaktadır). İstek gövdesindeki sudoPassword alanı, bir 'sudo -S sh' alt sürecinin stdin kısmına yazılmaktadır. sudo şifre istemediğinde (süreç root olarak çalıştığında, NOPASSWD yapılandırıldığında veya güncel bir sudo zaman damgası önbelleği mevcut olduğunda), sudoPassword değeri sh tarafından bir kabuk komutu olarak yorumlanır ve bu durum uzaktaki kimliği doğrulanmamış bir saldırganın keyfi OS komutları çalıştırmasına olanak tanır. İstismara dair kanıtlar ilk kez 2026-07-04 (UTC) tarihinde Shadowserver Foundation tarafından gözlemlenmiştir.