CVE-2026-56677

Nome do Software Vulnerável e Versões Afetadas 9Router versões 0.5.4 e anteriores

Description Um Server-Side Request Forgery (SSRF) existe no painel de controle através do endpoint POST '/api/auth/oidc/test'. A aplicação aceita o parâmetro issuerUrl controlado pelo usuário e o passa para a função fetchOidcDiscovery() sem validar se o destino é uma rede interna restrita ou um endereço de loopback. Quando o login do painel está desativado, invasores não autenticados podem usar isso para escanear serviços internos e refletir campos de descoberta OIDC, como token endpoint e jwks uri. Isso permite o reconhecimento da rede interna ao observar mudanças no comportamento da aplicação ao sondar diferentes portas ou ao recuperar dados de serviços internos que respondem com estruturas de configuração OpenID válidas.

Recommendations Atualize o 9Router para uma versão posterior à 0.5.4. Proteja o endpoint '/api/auth/oidc/test' com um middleware de autenticação para exigir sessões de usuário válidas. Valide que o parâmetro issuerUrl utilize estritamente o protocolo https://. Implemente listas de bloqueio de rede para resolver o nome do host em issuerUrl e descartar requisições apontando para endereços de loopback (127.0.0.0/8, ::1) ou endereços internos privados (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16).