🇰🇷 한글 설명
9Router 0.4.41 이하 버전에는 인증되지 않은 정보 노출 취약점이 존재합니다. 원격 공격자는 /api/usage/stats 엔드포인트에 단 한 번의 비인증 요청만으로 연결된 모든 AI 제공자 계정의 평문 API 키를 획득할 수 있습니다. 이는 Next.js API 라우트에 인증 미들웨어가 누락되어 발생합니다.
💡 쉬운 설명
인증 없이 특정 주소로 요청만 보내면 AI 서비스 계정의 비밀번호에 해당하는 API 키가 노출될 수 있습니다. 공격자는 이 키로 요금을 대신 사용하거나 할당량을 소진시킬 수 있습니다.
🇺🇸 원문 (English)
9Router through version 0.4.41 contains an unauthenticated information disclosure vulnerability that allows remote attackers to retrieve plaintext API keys for all connected AI provider accounts by sending a single unauthenticated request to the /api/usage/stats endpoint. Attackers can exploit the missing authentication middleware on the Next.js API route to obtain full API key strings alongside token counts, cost breakdowns, and request metadata, enabling unauthorized use of connected AI provider accounts, billing fraud, and quota exhaustion.
📍 영향받는 시스템
9Router 0.4.41 이하 버전
⚔️ 공격 벡터
인증 없이 원격에서 /api/usage/stats 엔드포인트로 단일 HTTP 요청을 보내 평문 API 키 및 사용량 정보를 탈취
🛡️ 대응 방법
9Router를 0.4.41보다 높은 패치 버전으로 업데이트하고, 노출된 AI 제공자 API 키를 즉시 폐기 후 재발급하며, 해당 엔드포인트에 인증 미들웨어를 적용
🔧 검증 코드
응답 코드가 200이면 인증 없이 접근 가능하여 취약하고, 401 또는 403이면 인증이 적용된 것으로 정상입니다.
curl -s -o /dev/null -w '%{http_code}' http://localhost:20128/api/usage/stats