CVE-2026-108860

Nome do Software Vulnerável e Versões Afetadas BotSharp versões anteriores a 5.2.1

Descrição Existe uma falha de bypass de autenticação que permite que atacantes remotos não autenticados forjem tokens bearer. Isso é possível porque o arquivo appsettings.json do WebStarter contém uma Jwt:Key hard-coded. Atacantes podem usar este segredo HMAC comprometido, juntamente com um emissor e audiência fixos do botsharp, para assinar tokens e personificar qualquer usuário conhecido, incluindo administradores, ao acessar rotas de API protegidas por Authorize.

Recomendações Substitua a chave de assinatura JWT padrão por um segredo único e criptograficamente seguro. Restrinja o acesso externo à API imediatamente. Invalide os tokens existentes e revise as contas privilegiadas em busca de acessos históricos suspeitos.