CVE-2026-120442
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les versions de ape-volo-admin antérieures à la 3.6.1 constituent une interface administrative utilisée pour gérer les utilisateurs et les permissions du système. Le logiciel utilise des jetons JSON Web Tokens (JWT) pour l'authentification, mais il inclut une clé de signature codée en dur dans le fichier appsettings.json. Comme cette clé est statique et connue, n'importe qui peut l'utiliser pour signer ses propres jetons d'administrateur falsifiés hors ligne.
Un attaquant peut ainsi obtenir un contrôle administratif total sur l'API, lui permettant de lire, modifier ou supprimer des utilisateurs, des rôles et des données sensibles. Cela compromet la confidentialité, l'intégrité et la disponibilité de l'ensemble du système. L'exploitation est facile à exécuter car elle ne nécessite aucune authentification, aucune interaction utilisateur, et seulement un accès réseau basique au serveur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
ape-volo-admin before 3.6.1 contains an authentication bypass vulnerability that allows unauthenticated attackers to forge administrator tokens using a hardcoded JWT signing key in appsettings.json. Attackers can sign tokens offline with the jti claim set to the seeded administrator id to gain full API control over users, roles, permissions and data.