CVE-2026-120442

Nome do Software Vulnerável e Versões Afetadas ape-volo-admin versões anteriores a 3.6.1

Description Existe uma falha de bypass de autenticação que permite que atacantes não autenticados forjem tokens de administrador. Isso é possível devido a uma chave de assinatura JWT (JSON Web Token) hardcoded localizada no arquivo appsettings.json. Atacantes podem assinar tokens offline definindo a claim jti para o ID do administrador semeado, obtendo controle total da API sobre usuários, funções, permissões e dados.

Recommendations Atualize para a versão 3.6.1 ou posterior.