PT-2026-70822 · Dromara+1 · Maxkey
CVSS v3.1
9.8
حرجة
| المتجه | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
MaxKey (لم يتم تحديد الإصدارات المتأثرة)
الوصف
توجد مشكلة وصول غير مصرح به بسبب وجود سر توقيع JWT مبرمج بشكل ثابت داخل ملف
application-maxkey.properties. وهذا يسمح للمهاجمين غير المصادق عليهم بتزوير رموز JSON Web Tokens (JWT) صالحة — وهي وسيلة مدمجة وآمنة لعناوين URL لتمثيل المطالبات المراد نقلها بين طرفين — والمصادقة كأي مستخدم. من خلال استخدام آلية تسجيل الدخول بدون كلمة مرور، يمكن للمهاجمين توقيع رمز باستخدام السر الافتراضي وإرساله إلى نقطة النهاية /sign/login/jwt/trust للحصول على جلسة عمل مصادق عليها للمسؤول، مما يمنحهم حق الوصول إلى تكوينات تطبيق SSO وأسرار التطبيقات التابعة.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
استغلال
Using Hardcoded Credentials
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Maxkey