🔴 《严重安全漏洞：CVE-2026-59801》

CVSS 评分: 严重（9.3）　　状态: Received　　发布时间: 2026-07-13

漏洞简介

CVE-2026-59801 是一个存在于 9Router 中的未认证访问漏洞（对应 CWE-306：关键功能缺少认证）。该漏洞源于 9Router 在 src/app/api/providers/* 路径下的 Next.js API 路由中缺少必要的身份验证中间件（authentication middleware），导致远程攻击者无需任何凭证即可直接向提供商管理 API 端点（provider management API endpoints）发送请求。

具体来说，攻击者可以利用该漏洞执行以下操作：

  • 枚举（enumerate） 现有的提供商连接信息；
  • 创建（create） 新的恶意提供商连接；
  • 修改（modify） 已有的提供商配置；
  • 删除（delete） 所有提供商连接。

由于这些 API 端点未受保护，攻击者能够获取到部分凭证（partial credentials）、OAuth 令牌（OAuth tokens）以及 API 密钥（API keys）等敏感信息。此外，攻击者还可以通过篡改提供商配置，将 AI 流量重定向到攻击者控制的服务器，或通过删除所有提供商连接导致完全拒绝服务（denial of service）。

影响范围

  • 受影响软件：9Router
  • 受影响版本：版本 0.4.41 及之前的所有版本（through version 0.4.41）
  • 攻击向量：远程网络攻击（AV:N）
  • 攻击复杂度：低（AC:L）
  • 所需权限：无需任何权限（PR:N）
  • 用户交互：无需用户交互（UI:N）

风险分析

根据 CVSS 4.0 评分向量（CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N），该漏洞的严重性极高，具体风险如下：

  1. 机密性影响（VC:H）：攻击者可获取敏感凭证、OAuth 令牌和 API 密钥，导致机密数据泄露。
  2. 完整性影响（VI:H）：攻击者可创建或修改提供商配置，将 AI 流量重定向至恶意服务器，破坏数据或服务的完整性。
  3. 可用性影响（VA:H）：攻击者可删除所有提供商连接，导致服务完全不可用，造成拒绝服务。
  4. 攻击范围：由于无需认证且攻击复杂度低，任何能够访问 9Router 网络服务的远程攻击者均可利用此漏洞，无需特殊条件或用户交互。

潜在攻击后果：

  • 敏感信息泄露：暴露的 API 密钥和 OAuth 令牌可能被用于进一步攻击其他关联系统。
  • 服务劫持：通过重定向 AI 流量，攻击者可窃取或篡改 AI 模型处理的数据。
  • 服务瘫痪：删除所有提供商连接将导致 9Router 无法正常工作，影响依赖该路由器的所有业务。

建议受影响的用户立即升级至 9Router 的修复版本（如果可用），或在 src/app/api/providers/* 路由中强制实施身份验证中间件，以缓解此漏洞带来的风险。

🔍 技术细节

字段 值
CVE ID CVE-2026-59801
CVSS 评分 9.3 🔴
严重程度 严重
CVSS 向量 CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
CWE 分类 CWE-306
发布时间 2026-07-13
最后更新 2026-07-13
状态 Received
数据来源 disclosure@vulncheck.com

🔗 参考链接