CVE-2026-62241

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.1
EPSS: 0.7%
CWE: CWE-306
KEV Durumu: Hayır

Yayım tarihi: 17 Temmuz 2026

Etkilenen: mohibshaikh clawvet

clawvet self-hosted API sunucusu (apps/api) 0.7.5 sürümünden önce, auth.ts dosyasında bir geri dönüş JWT gizli anahtarı ('clawvet-dev-secret-change-me') sabit kodlar ve bunu .env.example dosyasında varsayılan olarak gönderir. GET /api/v1/scans, kimlik doğrulaması olmadan userId değerleri içeren tarama kayıtlarını döndürdüğünden, uzaktaki kimlik doğrulaması yapılmamış bir saldırgan, bir kurbanın userId'sini toplayabilir, bilinen gizli anahtar kullanarak çevrimdışı olarak geçerli bir HS256 cg_session çerezi oluşturabilir ve GET /api/v1/auth/me çağrısını yaparak kurbanın e-posta adresini, abonelik planını ve gizli apiKey'sini elde edebilir. Yayımlanan clawvet npm paketi (sadece CLI) etkilenmez.

Orijinal açıklama (İngilizce)

clawvet self-hosted API server (apps/api) before 0.7.5 hard-codes a fallback JWT secret ('clawvet-dev-secret-change-me') in auth.ts and ships it as the default in .env.example. Because GET /api/v1/scans returns scan records containing userId values without authentication, a remote unauthenticated attacker can harvest a victim's userId, forge a valid HS256 cg_session cookie offline using the known secret, and call GET /api/v1/auth/me to obtain the victim's email address, subscription plan, and secret apiKey. The published clawvet npm package (CLI only) is not affected.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.