CVE-2024-46508

Wysokie

Opublikowano: 08/05/2026(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

W wersjach yeti-platform przed 2.1.12, atakujący mogą generować ważne tokeny JWT, jeśli sekret nie został zmieniony (poprzez ustawienie YETI_AUTH_SECRET_KEY na wartość inną niż SECRET).

Ocena ryzyka

Organizacja może być narażona na nieautoryzowany dostęp do zasobów, jeśli atakujący wykorzystają tę podatność do generowania ważnych tokenów JWT.

Rekomendacja

Zaleca się zmianę wartości YETI_AUTH_SECRET_KEY na silny, unikalny sekret, aby zabezpieczyć system przed nieautoryzowanym dostępem.

Inne podatności w yeti-platform

CVE-2024-46507Wysokie
W podatności SSTI (wstrzyknięcie szablonu po stronie serwera) w funkcji eksportu szablonów w yeti-platform przed wersją 2.1.12, atakujący mogą wykonywać kod na serwerze aplikacji.

Oryginalny opis (angielski, źródło NVD)

yeti-platform yeti before 2.1.12 allows attackers to generate valid JWT tokens is the secret is not changed (by setting YETI_AUTH_SECRET_KEY to a value other than SECRET).