CVE-2025-59934
KrytyczneStreszczenie
Formbricks, alternatywa dla Qualtrics, przed wersją 4.0.1 nie weryfikował podpisów JWT. W wyniku tego, mechanizm walidacji tokenów jedynie dekodował JWT, co umożliwiało atakującym tworzenie fałszywych tokenów do logowania i resetowania haseł.
Ocena ryzyka
Brak weryfikacji podpisów JWT stwarza poważne ryzyko dla bezpieczeństwa użytkowników, umożliwiając atakującym przejęcie kont i resetowanie haseł. Organizacje korzystające z Formbricks mogą być narażone na nieautoryzowany dostęp do danych użytkowników.
Rekomendacja
Zaleca się aktualizację do wersji 4.0.1 lub nowszej, aby zapewnić weryfikację podpisów JWT i zminimalizować ryzyko związane z tą podatnością.
Powiązane podatności
- CVE-2026-66086Krytyczne
W stosie OTA modemu występuje możliwy przepełnienie bufora na stosie z powodu nieprawidłowej walidacji informacji o planowaniu w komunikatach SIB1. Może to prowadzić do zdalnego wykonania kodu lub odmowy usługi bez potrzeby dodatkowych uprawnień.
- CVE-2026-108860Krytyczne
BotSharp do wersji 5.2.0 zawiera podatność obejścia uwierzytelniania, która pozwala nieuwierzytelnionym zdalnym atakującym na sfałszowanie tokenów bearer przy użyciu zakodowanego na stałe klucza Jwt:Key w pliku appsettings.json WebStarter. Atakujący mogą podpisywać tokeny przy użyciu zakomentowanego sekretu HMAC oraz stałych wartości issuer i audience, aby podszyć się pod dowolnego znanego użytkownika, w tym administratora, na trasach API chronionych atrybutem Authorize.
- CVE-2026-108753Krytyczne
Agnaistic agnai do wersji 1.0.555 zawiera podatność związaną z zakodowanymi na stałe poświadczeniami w pliku self-host.docker-compose.yml, który ustawia stałe hasło administratora i publiczny sekret JWT. Nieuwierzytelnieni atakujący mogą zalogować się jako administrator lub podpisać własny token JWT z polem admin: true, aby podszyć się pod użytkowników, resetować hasła i zmieniać konfigurację serwera.
- CVE-2026-108576Krytyczne
Podatność znaleziona w TOZED X300 do wersji 6.01.3 dotyczy funkcji process_ping komponentu IPPingDiagnostics Handler. Manipulacja argumentem Host prowadzi do wstrzyknięcia komend systemu operacyjnego. Atak może być przeprowadzony zdalnie. Sprzedawca został wcześniej poinformowany o tym ujawnieniu, ale nie odpowiedział w żaden sposób.
- CVE-2026-86717Krytyczne
Wtyczka Insurify dla WordPressa do wersji 1.0 nie posiada kontroli autoryzacji i nonce na jednej z akcji AJAX, co pozwala nieuwierzytelnionym użytkownikom usuwać dowolne opcje WordPressa, co może spowodować wyłączenie witryny i pozbawienie wszystkich użytkowników ich ról.
- CVE-2026-86706Krytyczne
Wtyczka Quick quotes dla WordPressa do wersji 1.0.0 nie przeprowadza żadnej kontroli uprawnień ani nonce na jednej z akcji AJAX i pozwala wywołującemu wybrać, która opcja jest zapisywana, co umożliwia nieuwierzytelnionym użytkownikom zmianę dowolnych ustawień witryny i uczynienie jej niedostępną.
- CVE-2026-85121Krytyczne
Wtyczka Insurify dla WordPressa do wersji 1.0 nie posiada kontroli autoryzacji i nonce na jednej z akcji AJAX, co pozwala nieuwierzytelnionym użytkownikom tworzyć i nadpisywać dowolne opcje WordPressa danymi z żądania, co może spowodować wyłączenie witryny i dezaktywację wszystkich wtyczek Insurify.
- CVE-2026-85118Krytyczne
Wtyczka AI Content Generator Marketing dla WordPressa do wersji 1.0.0 nie egzekwuje kontroli nonce ani uprawnień na niektórych akcjach AJAX, co pozwala nieuwierzytelnionym użytkownikom aktualizować i usuwać dowolne opcje WordPressa, co może być wykorzystane do uzyskania dostępu administratora do witryny.
- CVE-2026-84737Krytyczne
Wtyczka Freeton WP dla WordPressa do wersji 1.0.0 nie poprawnie weryfikuje kodu aktywacyjnego podczas uwierzytelniania użytkownika, co pozwala nieuwierzytelnionym atakującym zalogować się jako dowolny użytkownik, którego adres e-mail znają, w tym administratorzy.
- CVE-2026-84734Krytyczne
Wtyczka Mindstien Quick Login dla WordPressa do wersji 1.0 nie poprawnie weryfikuje wartości dostarczonej w żądaniu względem sesji odwiedzającego przed uwierzytelnieniem, co pozwala nieuwierzytelnionym atakującym uzyskać sesję jako konto administratora, z którym skonfigurowana jest wtyczka.
Oryginalny opis (angielski, źródło NVD)
Formbricks is an open source qualtrics alternative. Prior to version 4.0.1, Formbricks is missing JWT signature verification. This vulnerability stems from a token validation routine that only decodes JWTs (jwt.decode) without verifying their signatures. Both the email verification token login path and the password reset server action use the same validator, which does not check the token’s signature, expiration, issuer, or audience. If an attacker learns the victim’s actual user.id, they can craft an arbitrary JWT with an alg: "none" header and use it to authenticate and reset the victim’s password. This issue has been patched in version 4.0.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS