PT-2026-141193
CVE-2026-125370
·
تاريخ النشر
2026-11-09
·
تاريخ التحديث
2026-11-10
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Kubero الإصدارات 3.0.0 through 3.1.1
Description
يوجد خلل في تجاوز المصادقة يسمح للمهاجمين عن بُعد غير المصرح لهم بتزوير رموز JSON Web Tokens (JWTs) إدارية عندما يكون متغير
JWT SECRET غير محدد. يحدث هذا لأن النظام يستخدم سر تسمية احتياطيًا مدمجًا (hardcoded). يمكن للمهاجمين توقيع الرموز بمطالبات role و userGroups و permissions عشوائية، والتي تثق بها دالة JwtStrategy.validate() دون إجراء بحث في قاعدة البيانات. قد يؤدي ذلك إلى السيطرة الإدارية الكاملة على خطوط الأنابيب (pipelines)، والتطبيقات، والمستخدمين، ورموز API.Recommendations
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾