CVE-2026-9317

Nome do Software Vulnerável e Versões Afetadas Nango versões anteriores a 0.71.6

Description O servidor tRPC do runner contém uma falha de autenticação ausente que permite que atacantes não autenticados com acesso de rede à porta do runner executem código JavaScript arbitrário. Isso é feito invocando o procedimento start exposto sem credenciais, o que ignora a variável de ambiente RUNNER SECRET KEY não aplicada, resultando na execução remota de código dentro do processo do runner.

Recommendations Atualize para a versão 0.71.6 e defina a variável de ambiente NANGO INTERNAL AUTH REQUIRED como true.