CVE-2026-108753
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.4
- EPSS
- 0.3%
- CWE
- CWE-798
- KEV Durumu
- Hayır
Yayım tarihi: 11 Ekim 2026
Agnaistic agnai 1.0.555 sürümüne kadar, self-host.docker-compose.yml dosyasında sabit bir yönetici parolası ve halka açık JWT gizli anahtarı ayarlayan bir硬 kodlu kimlik bilgileri zafiyeti içerir. Kimlik doğrulamaları yapılmamış saldırganlar, yönetici olarak oturum açabilir veya admin: true ile kendi JWT'lerini imzalayarak kullanıcıları taklit edebilir, parolaları sıfırlayabilir ve sunucu yapılandırmasını değiştirebilir.
Orijinal açıklama (İngilizce)
Agnaistic agnai through 1.0.555 contains a hard-coded credentials vulnerability in self-host.docker-compose.yml, which sets a fixed admin password and public JWT secret. Unauthenticated attackers can log in as admin or sign their own JWT with admin: true to impersonate users, reset passwords, and change server configuration.
Referanslar
- https://github.com/agnaistic/agnai
- https://github.com/agnaistic/agnai/blob/6c3de258cb33999c3f292c71aa031d2352681186/README.md#L75-L82
- https://github.com/agnaistic/agnai/blob/6c3de258cb33999c3f292c71aa031d2352681186/self-host.docker-compose.yml#L18-L26
- https://github.com/agnaistic/agnai/blob/6c3de258cb33999c3f292c71aa031d2352681186/srv/api/auth.ts#L11-L14
- https://hackmd.io/@haind/agnai-selfhost-compose-hardcoded-admin-jwt-secret
- https://www.vulncheck.com/advisories/agnaistic-agnai-through-1.0.555-hard-coded-credentials-in-self-host-docker-compose
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.