CVE-2026-125370

Nome do Software Vulnerável e Versões Afetadas Kubero versões 3.0.0 through 3.1.1

Description Existe uma falha de bypass de autenticação que permite que atacantes remotos não autenticados forjem JSON Web Tokens (JWTs) administrativos quando a variável JWT SECRET não está definida. Isso ocorre porque o sistema utiliza um segredo de assinatura de fallback codificado. Atacantes podem assinar tokens com reivindicações arbitrárias de role, userGroups e permissions, as quais a função JwtStrategy.validate() confia sem realizar uma consulta ao banco de dados. Isso pode resultar no controle administrativo total de pipelines, aplicações, usuários e tokens de API.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.