CVE-2026-57183

Nome do Software Vulnerável e Versões Afetadas Scoold versões anteriores a 1.69.1

Descrição A função checkApiAuth() em src/main/java/com/erudika/scoold/utils/ScooldUtils.java permite o uso de um JSON Web Token (JWT) assinado com app secret key ou para secret key para os endpoints '/api/config' e '/api/stats' sem exigir um jti de chave de API registrado. Este processo mapeia a requisição para o API USER administrativo codificado. Essas verificações de endpoint permanecem ativas mesmo que scoold.api enabled esteja definido como falso. Um invasor que possua qualquer uma das chaves de assinatura pode forjar um token para acessar funcionalidades de configuração privilegiadas e ler logs do servidor e dados de configuração sensíveis.

Recomendações Atualizar para a versão 1.69.1.