CVE-2026-97055

Nome do Software Vulnerável e Versões Afetadas SigNoz versões 0.8.0 até 0.142.0

Descrição Implantações que não configuram um segredo de assinatura para o tokenizador JWT utilizam uma string vazia como chave HMAC padrão para assinar e verificar tokens de sessão. Isso ocorre porque a função Config.Validate() não rejeita valores vazios. Um invasor não autenticado pode forjar tokens de sessão válidos para qualquer usuário, incluindo administradores, assinando as reivindicações id, orgId e email com uma chave vazia. O ID da organização e o status de registro do e-mail podem ser recuperados sem autenticação através do endpoint '/api/v2/sessions/context'. Além disso, um token de atualização forjado pode ser trocado por um novo par de tokens através do endpoint '/api/v2/sessions/rotate' e não pode ser revogado, permanecendo válido por todo o seu tempo de vida.

Recomendações Atualize para a versão 0.143.0 ou posterior.