9.2
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, само при определена конфигурация или състояние на системата, без вход и без действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
Nango before 0.71.6 contains a missing authentication vulnerability in the runner tRPC server that allows unauthenticated attackers to execute arbitrary JavaScript code by invoking the exposed start procedure without credentials. Attackers with network access to the runner port can send requests to the unauthenticated start procedure, bypassing the unenforced RUNNER_SECRET_KEY environment variable, to achieve remote code execution within the runner process.
Засегнати продукти
- NangoHQ nango: преди 0.71.6
Вид слабост
История
- 4 септември 2026 Публикувано
Други уязвимости в NangoHQ nango
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-9317
- https://nvd.nist.gov/vuln/detail/CVE-2026-9317
- https://github.com/NangoHQ/nango/releases/tag/v0.71.6
- https://github.com/NangoHQ/nango/pull/7288
- https://github.com/NangoHQ/nango/commit/ed3030a9a0f8e4f3810fd10cb3a1905a2f5f87d2
- https://www.vulncheck.com/advisories/nango-missing-authentication-rce-via-runner-trpc-server