CVE-2026-108860
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.1
- EPSS
- —
- CWE
- CWE-321
- KEV Durumu
- Hayır
Yayım tarihi: 11 Ekim 2026
BotSharp 5.2.0 sürümüne kadar, WebStarter appsettings.json dosyasındaki sabit Jwt:Key kullanarak taşıyıcı tokenler oluşturmasına olanak tanıyan bir kimlik doğrulama atlatma zafiyeti içerir. Saldırganlar, taahhüt edilen HMAC gizli anahtarı ve sabit botsharp verici ve hedef kullanan tokenleri imzalayarak, yetkilendirme koruması olan API yollarındaki herhangi bir bilinen kullanıcıyı, yöneticileri de dahil olmak üzere taklit edebilir.
Orijinal açıklama (İngilizce)
BotSharp through 5.2.0 contains an authentication bypass vulnerability that allows unauthenticated remote attackers to forge bearer tokens using the hard-coded Jwt:Key in WebStarter appsettings.json. Attackers can sign tokens with the committed HMAC secret and fixed botsharp issuer and audience to impersonate any known user, including administrators, on Authorize-protected API routes.
Referanslar
- https://github.com/SciSharp/BotSharp
- https://github.com/SciSharp/BotSharp/blob/a11ee0317cab5c619df1cb5d0c4fc39d1b6e30b4/src/Infrastructure/BotSharp.OpenAPI/BotSharpOpenApiExtensions.cs#L46-L57
- https://github.com/SciSharp/BotSharp/blob/a11ee0317cab5c619df1cb5d0c4fc39d1b6e30b4/src/WebStarter/appsettings.json#L16-L20
- https://hackmd.io/@1ExmmukzRMWN7B4gQ4W-4Q/scisharp-botsharp-public-jwt-signing-key
- https://www.vulncheck.com/advisories/botsharp-through-5.2.0-authentication-bypass-via-hard-coded-jwt-signing-key
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.