PT-2026-86222

CVE-2026-9317

Publicado

2026-09-04

Atualizado

2026-09-09

Descrição por

CVSS 4.0

9.2

Crítica

MétricasAV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Nango versões anteriores a 0.71.6

Description O servidor tRPC do runner contém uma falha de autenticação ausente que permite que atacantes não autenticados com acesso de rede à porta do runner executem código JavaScript arbitrário. Isso é feito invocando o procedimento start exposto sem credenciais, o que ignora a variável de ambiente RUNNER SECRET KEY não aplicada, resultando na execução remota de código dentro do processo do runner.

Recommendations Atualize para a versão 0.71.6 e defina a variável de ambiente NANGO INTERNAL AUTH REQUIRED como true.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Katriel Moses

Vulncheck

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-306: Missing Authentication for Critical Function