CVE-2026-125383
KrytyczneCVSS 9.8Streszczenie
INDOTALENT WHMS przed wersją 10.20261109 zawiera podatność polegającą na obejściu uwierzytelniania, spowodowaną zaszytym na stałe kluczem podpisywania JWT, wystawcą i odbiorcą w pliku appsettings.json. Nieuwierzytelnieni zdalni atakujący mogą sfałszować tokeny dla dowolnego identyfikatora użytkownika i roli, którym ufa walidator Tokens/DI.cs, uzyskując dostęp administratora do całego API.
Ocena ryzyka
Atakujący może sfałszować tokeny administracyjne i uzyskać pełny dostęp do API bez logowania. Prowadzi to do przejęcia całego systemu i danych.
Rekomendacja
Zaktualizować system do wersji 10.20261109 lub nowszej oraz zastąpić zaszyte klucze JWT unikalnymi, bezpiecznie przechowywanymi sekretami. Rozważyć rotację kluczy i audyt tokenów.
Inne podatności w INDOTALENT WHMS
Zobacz wszystkie- CVE-2026-125385Średnie
INDOTALENT WHMS przed wersją 10.20261109 zawiera podatność path traversal, która pozwala uwierzytelnionym użytkownikom na odczyt dowolnych plików poprzez parametry documentName i imageName. Atakujący mogą samodzielnie się zarejestrować i dostarczyć sekwencje traversal do GetDocument lub GetImage, które używają Path.Combine bez sprawdzania zawierania ścieżki, aby odczytać pliki takie jak appsettings.json.
- CVE-2026-125384Krytyczne
INDOTALENT WHMS przed wersją 10.20261109 zawiera podatność związaną z domyślnymi poświadczeniami, ponieważ seeder UserAdminSeeder tworzy konto [email protected] z hasłem 123456. Atakujący mogą zalogować się tymi danymi, które mają wszystkie role administratora i nie wymuszają zmiany hasła, przejmując pełną kontrolę nad wdrożeniami, w których je pozostawiono.
Oryginalny opis (angielski, źródło NVD)
INDOTALENT WHMS (Asp.Net-Core-Inventory-Order-Management-System) before 10.20261109 contains an authentication bypass vulnerability caused by a hard-coded JWT signing key, issuer and audience in appsettings.json. Unauthenticated remote attackers can forge tokens for any user ID and role that the Tokens/DI.cs validator trusts, gaining administrator access to the entire API.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS