CVE-2026-74893
WysokieCVSS 8.8Streszczenie
openssl_encrypt przed wersją 1.4.0 zawiera zakodowane na stałe domyślne sekrety podpisywania JWT w config.py, które przechodzą walidację. Atakujący mający dostęp do kodu źródłowego mogą sfałszować ważne tokeny JWT dla dowolnego client_id, aby uzyskać uwierzytelniony dostęp do kluczownika i interfejsów API telemetrii.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego dostępu do wrażliwych interfejsów API, co może prowadzić do naruszenia bezpieczeństwa systemu i danych.
Rekomendacja
Zaleca się natychmiastową aktualizację openssl_encrypt do wersji 1.4.0 lub nowszej oraz zmianę domyślnych sekretów na unikalne wartości.
Oryginalny opis (angielski, źródło NVD)
openssl_encrypt versions before 1.4.0 contain hardcoded default JWT signing secrets in config.py that pass validation checks. Attackers with access to source code can forge valid JWT tokens for any client_id to gain authenticated access to keyserver and telemetry APIs.