Plpaplpa

**Nome do Software Vulnerável e Versões Afetadas** SigNoz versões 0.8.0 até 0.142.0 **Descrição** Implantações que não configuram um segredo de assinatura para o tokenizador JWT utilizam uma string vazia como chave HMAC padrão para assinar e verificar tokens de sessão. Isso ocorre porque a função `Config.Validate()` não rejeita valores vazios. Um invasor não autenticado pode forjar tokens de sessão válidos para qualquer usuário, incluindo administradores, assinando as reivindicações `id`, `orgId` e `email` com uma chave vazia. O ID da organização e o status de registro do e-mail podem ser recuperados sem autenticação através do endpoint '/api/v2/sessions/context'. Além disso, um token de atualização forjado pode ser trocado por um novo par de tokens através do endpoint '/api/v2/sessions/rotate' e não pode ser revogado, permanecendo válido por todo o seu tempo de vida. **Recomendações** Atualize para a versão 0.143.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** SigNoz versões 0.88.0 through 0.141.0 **Description** O manipulador HTTP falha ao aplicar wrappers de autorização aos endpoints de análise de trace-funnel. Isso permite que atacantes não autenticados enviem definições de funil arbitrárias para recuperar análises de rastreamento, incluindo identificadores, durações, contagens de span, topologia de serviço e atividade de erro, sem fornecer credenciais. **Recommendations** Atualize o SigNoz para uma versão posterior à 0.141.0.