CVE-2026-90942

Nome do Software Vulnerável e Versões Afetadas Casdoor versões anteriores a 4.4.1

Descrição O Casdoor falha ao mascarar adequadamente a chave privada do certificado integrado em toda a instância. Isso permite que administradores de organização recuperem a chave privada através dos endpoints '/api/get-certs' e '/api/get-cert'. Um invasor com esta chave privada pode forjar JSON Web Tokens (JWT), que são meios compactos e seguros para URLs de representação de reivindicações a serem transferidas entre duas partes, para qualquer usuário em qualquer organização, incluindo administradores globais.

Recomendações Atualize para uma versão posterior à 4.4.0. Restrinja o acesso aos endpoints '/api/get-certs' e '/api/get-cert' para minimizar o risco de exposição da chave privada.