cve-2026-49352-poc

CVE-2026-49352 — 9router 하드코딩된 JWT 시크릿 인증 우회 목차 개요 영향받는 버전 근본 원인 분석 저장소 구조 요구 사항 사용법 예상 출력 참고 자료 면책 조항 개요 CVE-2026-49352는 AI 코딩 도구를 위한 자체 호스팅 Node.js/Next.js 프록시인 9router의 취약점입니다. 대시보드 세션 JWT는 JWTSECRET 환경 변수에서 가져온 시크릿으로 서명되지만, 해당 변수가 설정되지 않은 경우 로그인 핸들러와 요청 가드 모두 동일한 하드코딩된 리터럴로 폴백됩니다: const SECRE...

Axios: CRLF Injection in multipart/form-data body via unsanitized blob.type in formDataToStream

Summary The FormDataPart constructor in lib/helpers/formDataToStream.js interpolates value.type directly into the Content-Type header of each multipart part without sanitizing CRLF \r\n sequences. An attacker who controls the .type property of a Blob/File-like object e.g., via a user-uploaded fil...