FICHE CVE

CVE-2020-37281

Publiée le 2026-10-14 · Dernière modification le 2026-10-15

🇫🇷 EN BREF

Les versions de Gravitee API Management jusqu'à la 4.12.22 sont concernées si le `jwt.secret` par défaut n'a pas été modifié. Un attaquant distant non authentifié peut utiliser ce secret par défaut pour forger un jeton de sécurité et usurper l'identité de n'importe quel utilisateur, y compris les administrateurs, afin de prendre le contrôle total de la plateforme. Bien que cela nécessite que l'attaquant connaisse un identifiant d'utilisateur valide, aucune interaction utilisateur ni privilège particulier n'est requis pour l'exécution.

CVSS 4.09.2 CRITIQUE

Type de faiblesse

CWE-1394

Publiée2026-10-14

Dernière modification2026-10-15

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueÉlevée

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Gravitee API Management through 4.12.22 contains an authentication bypass vulnerability that allows unauthenticated remote attackers to impersonate any user by forging JWTs signed with the shipped default jwt.secret. Attackers knowing an existing user ID can sign an HS256 token with that subject and present it as a bearer token to the Management API, impersonating administrators to gain full platform control.