CVE-2026-69102

Nome do Software Vulnerável e Versões Afetadas MaxKey (versões afetadas não especificadas)

Descrição Um problema de acesso não autorizado existe devido a um segredo de assinatura JWT codificado no arquivo application-maxkey.properties. Isso permite que invasores não autenticados forjem tokens JSON Web Tokens (JWT) válidos—um meio compacto e seguro para URLs de representar reivindicações a serem transferidas entre duas partes—e se autentiquem como qualquer usuário. Ao utilizar o mecanismo de login com salto de senha, invasores podem assinar um token com o segredo padrão e enviá-lo ao endpoint /sign/login/jwt/trust para obter uma sessão de administrador autenticada, concedendo acesso a configurações de aplicativos SSO e segredos de aplicativos downstream.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.