6.4
CVSS 3.1
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.
- Експлоатация: има публичен пример за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
9Router is an AI router & token saver. Prior to 0.5.6, the Kiro API-key validation endpoint POST /api/oauth/kiro/api-key builds an upstream URL using a user-controlled region value, allowing an authenticated attacker to supply a crafted region such as kiro-canary.local:8443# and cause 9Router to send the Kiro validation request to an attacker-controlled host while forwarding the submitted Kiro API key as an Authorization header. This issue is fixed in version 0.5.6.
Засегнати продукти
- decolua 9router: < 0.5.6
Вид слабост
История
- 15 юли 2026 Публикувано
Други уязвимости в decolua 9router
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-56678
- https://nvd.nist.gov/vuln/detail/CVE-2026-56678
- https://github.com/decolua/9router/security/advisories/GHSA-6mwv-4mrm-5p3m
- https://github.com/decolua/9router/commit/126aa244c5b51b74ab8c7594e3418fcf4437bf6f
- https://github.com/decolua/9router/releases/tag/v0.5.6