nest-adminに認証回避の脆弱性、1.0.1で修正
Summary
nest-adminの1.0.1より前の版では、公開されている署名用の秘密値を使って管理者のトークンを偽造でき、ログインなしで管理機能を操作されるおそれがあります。管理画面にnest-adminを使っている組織は、修正版の1.0.1へ更新し、あわせて本番のJWT_SECRETを新しい値に替えてください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
nest-adminの1.0.1より前の版では、公開されている署名用の秘密値を使って管理者のトークンを偽造でき、ログインなしで管理機能を操作されるおそれがあります。管理画面にnest-adminを使っている組織は、修正版の1.0.1へ更新し、あわせて本番のJWT_SECRETを新しい値に替えてください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| buqiyuan | nest-admin |
< 1.0.1 |
1.0.1 |
Original description The description as published by the source.
nest-admin before 1.0.1 contains an authentication bypass vulnerability that allows unauthenticated attackers to forge administrator tokens by using a hardcoded JWT_SECRET committed in .env.production. Attackers can sign tokens with the known secret that JwtStrategy and RbacGuard trust, impersonating any user ID or claiming the admin role for full administrative access.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory