Résumé
généré automatiquement à partir des données NVDAJ-Report, jusqu'à la version 1.7.1 incluse, signe ses share tokens avec un secret JWT codé en dur (CWE-321), ce qui permet à un attaquant de forger hors ligne des Share-Tokens valides. Un token créé avec le reportCode « dataSet » donne accès à l'endpoint testTransform, qui transmet des scripts à GroovyClassLoader et permet une exécution de code à distance sans authentification. La sévérité est critique, avec un score CVSS v3.1 de 9.8.
Description NVD (anglais)
AJ-Report through 1.7.1 signs share tokens with a hard-coded JWT secret, allowing attackers to forge valid Share-Tokens offline. Attackers can mint a token with reportCode 'dataSet' to access the testTransform endpoint, which passes scripts to GroovyClassLoader for unauthenticated remote code execution.
Score CVSS v3.1
Informations
- Publié
- 31 oct. 2026
- Mis à jour
- 31 oct. 2026
- Statut
- Received
- Source
- disclosure@vulncheck.com
Faiblesses (CWE)
Références (4)
CVEs similaires
Autres vulnérabilités de type CWE-321
Sache quelles CVE touchent les versions que tu fais tourner.
Ajoute le produit et sa version : cveo.tech affiche tout de suite les CVE qui le concernent, puis t'alerte par email quand une nouvelle CVE le concerne — y compris avant que NVD ait fini son analyse. Gratuit, il suffit d'un compte.