CVE-2026-62327
Açıklama
0.4.41 versiyonu dahil olan 9Router, uzak saldırganların /api/usage/stats uç noktasına tek bir kimlik doğrulanmamış istek göndererek tüm bağlı AI sağlayıcı hesapları için düz metin API anahtarlarını almasına izin veren, kimlik doğrulaması gerektirmeyen bir bilgi ifşası zafiyeti içermektedir. Saldırganlar, Next.js API rotasındaki eksik kimlik doğrulama ara yazılımını kullanarak; belirteç sayıları, maliyet dökümleri ve istek meta verileriyle birlikte tam API anahtar dizelerini elde edebilirler; bu durum bağlı AI sağlayıcı hesaplarının yetkisiz kullanımına, faturalandırma dolandırıcılığına ve kota tükenmesine yol açabilir.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| decolua 9Router | v ≤ 0.4.41 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.