CVE-2026-62327

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.1
EPSS: 0.6%
CWE: CWE-306
KEV Durumu: Hayır

Yayım tarihi: 13 Temmuz 2026

9Router sürüm 0.4.41'e kadar, uzaktan saldırganların tüm bağlı AI sağlayıcı hesapları için açık metin API anahtarlarını almak için /api/usage/stats uç noktasına tek bir kimlik doğrulaması yapılmayan istek göndermelerine olanak tanıyan kimlik doğrulaması yapılmayan bir bilgi ifşa etme zafiyeti içerir. Saldırganlar, Next.js API rotası üzerindeki eksik kimlik doğrulama ara yazılımını kullanarak, token sayıları, maliyet ayrıntıları ve istek meta verileri ile birlikte tam API anahtar dizelerini elde etmek için yararlanabilir, bu da bağlı AI sağlayıcı hesaplarının yetkisiz kullanımına, faturalandırma sahtekarlığına ve kota tükenmesine olanak tanır.

Orijinal açıklama (İngilizce)

9Router through version 0.4.41 contains an unauthenticated information disclosure vulnerability that allows remote attackers to retrieve plaintext API keys for all connected AI provider accounts by sending a single unauthenticated request to the /api/usage/stats endpoint. Attackers can exploit the missing authentication middleware on the Next.js API route to obtain full API key strings alongside token counts, cost breakdowns, and request metadata, enabling unauthorized use of connected AI provider accounts, billing fraud, and quota exhaustion.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.