🔴 《严重安全漏洞：CVE-2026-63732》

CVSS 评分: 严重（9.4）　　状态: Received　　发布时间: 2026-07-23

漏洞简介

CVE-2026-63732 涉及 9router 软件（版本 0.4.59，已在 0.4.60 中修复）中存在的一系列连锁漏洞。该漏洞链结合了以下三个关键安全问题：

  1. 硬编码默认密码（Hardcoded Default Password）：
    所有全新安装的 9router 实例均使用硬编码的默认密码 123456 进行身份验证。攻击者可以利用此凭据直接登录系统，无需任何额外认证。

  2. 本地网络限制绕过（LOCAL_ONLY Network Gate Bypass）：
    系统本应通过 LOCAL_ONLY 网络门控机制限制仅本地网络可访问某些路由。但攻击者可以通过伪造 Host 头部（Host header spoofing）绕过此限制，从而访问本应仅限本地访问的接口。

  3. 未验证参数导致的命令注入（Unvalidated Arguments in child_process.spawn()）：
    在注册 MCP 插件（MCP plugins）时，系统将用户提供的参数直接传递给 child_process.spawn() 函数，而未进行任何验证或清理。攻击者可以注册一个恶意 MCP 插件（例如通过 node -e <payload> 执行任意 JavaScript 代码），当该插件的 SSE 端点（SSE endpoint）被触发时，即可在宿主操作系统上实现任意代码执行（arbitrary code execution）。

影响范围

  • 受影响版本：9router 0.4.59 及更早版本
  • 修复版本：9router 0.4.60
  • 攻击条件：远程、未认证攻击者（Remote, unauthenticated attacker）
  • 攻击路径：
    1. 使用默认密码 123456 登录系统
    2. 伪造 Host 头部绕过本地网络限制
    3. 注册恶意 MCP 插件并触发其 SSE 端点

风险分析

  • 攻击后果：
    攻击者可在宿主操作系统上以 9router 进程的权限执行任意命令，导致完全的系统控制（包括数据窃取、恶意软件植入、横向移动等）。由于漏洞链允许远程未认证利用，攻击者无需任何前期访问权限即可发起攻击。

  • 严重性评估：
    根据 CVSS 4.0 评分向量 AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H，该漏洞具有以下特征：

    • 攻击向量为网络（Network），攻击复杂度低（Low）
    • 无需用户交互（None）
    • 需要低权限（Low privileges，但默认密码使实际攻击者无需真实权限）
    • 对机密性、完整性、可用性均造成高影响（High），且影响范围波及系统环境（Scope Changed）

  • 建议措施：
    立即升级至 9router 0.4.60 或更高版本。同时，建议在所有部署中：

    • 立即更改默认密码
    • 验证 Host 头部处理逻辑是否已修复
    • 对 MCP 插件注册参数实施严格的输入验证和沙箱化执行

🔍 技术细节

字段 值
CVE ID CVE-2026-63732
CVSS 评分 9.4 🔴
严重程度 严重
CVSS 向量 CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
CWE 分类 CWE-78
发布时间 2026-07-23
最后更新 2026-07-23
状态 Received
数据来源 disclosure@vulncheck.com

🔗 参考链接