Veille sécuritéFrontend
P3Élevée
Dans certains modes de déploiement, 9Router fait confiance à l’en-tête X-9r-Real-Ip pour décider qu’une requête provient de localhost. Un client distant peut alors être considéré comme local et contourner la clé API de l’API publique LLM.
Next.jsJavaScriptNode.js9RouterLLM APIREST API
IdentifiantCVE-2026-56681
GravitéÉlevée
Exploitationaucune connue selon la source
Correctif0.5.8
Source : GitHub Advisory Database — GHSA-5mj8-gf6m-fhw8
Analyse technique
La fonction isLocalRequest() s’appuie sur X-9r-Real-Ip, en supposant que le wrapper custom-server.js l’a dérivé de l’adresse socket et a supprimé toute valeur entrante. Lorsque Next.js est exposé sans ce wrapper, l’en-tête fourni par le client atteint la logique d’autorisation et peut provoquer l’omission du contrôle de clé API pour /api/v1/*.
Impact, versions et correctif
VecteurRéseau, via une requête HTTP adressée à une instance exposée directement par Next.js.
PréconditionsL’instance doit être accessible à distance dans un mode qui n’emploie pas le wrapper custom-server.js de confiance.
ImpactAccès non authentifié aux ressources de fournisseurs LLM configurées par le propriétaire, consommation de crédits, énumération de modèles et abus du proxy.
Versions affectées9router <= 0.5.4
Version corrigée0.5.8
ContournementSupprimer ou rejeter les en-têtes X-9r-* provenant des clients ; établir l’adresse source depuis la socket ou une infrastructure proxy explicitement approuvée ; faire échouer le démarrage ou l’autorisation si le composant de confiance requis est absent.
Exploitation activeaucune connue selon la source
PoC publicoui
CVSS7.3 · CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L
Publication2026-09-22T18:34:06+02:00
Mise à jour2026-09-22T18:34:10+02:00
Détection / vérification
Rechercher dans les journaux des requêtes vers /api/v1/* portant X-9r-Real-Ip avec une adresse de boucle locale, notamment lorsque l’adresse réseau réelle est externe. Vérifier les modes de démarrage et la présence effective du wrapper.
Action recommandée
Corriger immédiatement la chaîne de proxy et de confiance des en-têtes, restreindre l’API publique et consulter les journaux pour les appels sans clé API.
Sources
Priorisation DFS : P3 · 1 source(s).