CVE-2026-48031

Nome do Software Vulnerável e Versões Afetadas go-base versões anteriores a 2026-05-18

Description O segredo de assinatura JWT está hardcoded como a string random no template dev.env e como um fallback programático no arquivo cmd/serve.go. Isso permite que um invasor forje tokens para qualquer usuário, incluindo funções de administrador, resultando em um bypass completo de autenticação em todos os endpoints protegidos.

Uma tentativa anterior de mitigar isso em auth/jwt/tokenauth.go falhou porque verificava apenas a string exata random e a substituía por uma chave em memória não persistente. Isso causou a negação de serviço (DoS) ao invalidar todos os tokens ativos toda vez que a aplicação era reiniciada.

Detalhes técnicos incluem:

Recommendations Atualize o go-base para a versão 2026-05-18 ou posterior. Como mitigação temporária, defina manualmente um valor forte e exclusivo para a variável de ambiente AUTH JWT SECRET e garanta que ela não esteja definida como random, secret, changeme, change-me, default ou vazia.