Kenerに認証回避の脆弱性、4.1.10で修正
Summary
ステータスページ用のKenerで、署名鍵を設定していない環境では、ログインしていない第三者が管理者になりすませる脆弱性が見つかりました。3.0.0以上4.1.10未満を使っている組織が対象です。4.1.10への更新と、署名鍵の設定状況の確認を進めてください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
ステータスページ用のKenerで、署名鍵を設定していない環境では、ログインしていない第三者が管理者になりすませる脆弱性が見つかりました。3.0.0以上4.1.10未満を使っている組織が対象です。4.1.10への更新と、署名鍵の設定状況の確認を進めてください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| rajnandan1 | kener |
≥ 3.0.0, < 4.1.10 |
4.1.10 |
Original description The description as published by the source.
Kener 3.0.0 before 4.1.10 contains an authentication bypass vulnerability that allows unauthenticated attackers to forge session tokens by using the hardcoded DUMMY_SECRET fallback key. When KENER_SECRET_KEY is empty or unset, attackers knowing an administrator email can sign a kener-user cookie to access /manage/api with full administrative privileges or forge password-reset tokens.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- advisory github.com
- advisory vulncheck.com
- advisory nvd.nist.gov
- advisory github.com
- package github.com
- patch github.com
- report github.com
- web github.com
- web github.com