CVE-2026-63313

Nome do Software Vulnerável e Versões Afetadas 9Router versões anteriores a 0.4.72

Descrição Um problema de server-side request forgery (SSRF) existe no endpoint '/v1/web/fetch'. O endpoint aceita um parâmetro url controlado pelo usuário e o envia para um provedor de scraping externo para buscar conteúdo. Como a URL é validada apenas quanto à sintaxe e carece de uma lista de bloqueio para intervalos de IP privados, endereços link-local, nomes de host internos ou endpoints de metadados de nuvem (como 169.254.169.254), um usuário autenticado ou conectado localmente pode forçar o servidor a buscar URLs internas arbitrárias. Isso permite um SSRF de leitura, que pode expor credenciais de metadados de nuvem, alcançar serviços internos e ignorar a autenticação em endpoints de localhost.

Recomendações Atualize para a versão 0.4.72 ou posterior. Como medida paliativa temporária, restrinja o acesso ao endpoint '/v1/web/fetch' para minimizar o risco de exploração.