9Router MCP 桥接服务缺失鉴权，未授权攻击者可远程执行任意命令
9Router MCP桥接服务缺失鉴权安全公告
AI 导读
9Router 的 MCP 桥接服务存在未鉴权漏洞，两个 API 端点串联后可让网络邻近的攻击者以 9router 进程用户身份执行任意 OS 命令，无需任何凭据。根因是 Next.js 中间件 src/proxy.js 的 matcher 只保护 8 条显式列出的路由，/api/cli-tools/* 与 /api/mcp/* 下 40 多条路由完全绕过鉴权。攻击者先向 /api/cli-tools/cowork-settings 提交含 command 与 args 的 customPlugins，命令被原样存入进程级 globalThis 存储，再请求 /api/mcp/{plugin}/sse 触发 spawn() 执行，从首个请求到利用完成不足 2 秒，前提是能访问 20128 端口（Docker 默认 0.0.0.0:20128）。