ape-volo-adminで管理者トークン偽造、3.6.1で修正
Summary
ape-volo-adminの3.6.1より前では、設定ファイルに固定された署名鍵で管理者トークンを偽造され、認証なしでAPIを全面操作されるおそれがあります。利用中の組織は3.6.1へ更新し、署名鍵の入れ替えと管理者操作の履歴確認まで進めてください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
ape-volo-adminの3.6.1より前では、設定ファイルに固定された署名鍵で管理者トークンを偽造され、認証なしでAPIを全面操作されるおそれがあります。利用中の組織は3.6.1へ更新し、署名鍵の入れ替えと管理者操作の履歴確認まで進めてください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| xianhc | ape-volo-admin |
< 3.6.1 |
3.6.1 |
Original description The description as published by the source.
ape-volo-admin before 3.6.1 contains an authentication bypass vulnerability that allows unauthenticated attackers to forge administrator tokens using a hardcoded JWT signing key in appsettings.json. Attackers can sign tokens offline with the jti claim set to the seeded administrator id to gain full API control over users, roles, permissions and data.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web github.com
- web github.com
- web github.com
- web github.com
- web github.com
- web github.com
- web hackmd.io
- web vulncheck.com
- web nvd.nist.gov
- web github.com