CVE-2026-111633

WysokieCVSS 8.6

Opublikowano: 16/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 17/10/2026(UTC)NVD NIST

Streszczenie

ZKEACMS do wersji 4.4 zawiera podatność polegającą na obejściu uwierzytelniania, która pozwala nieuwierzytelnionym atakującym fałszować tokeny bearer JWT REST API przy użyciu zaszytego klucza podpisywania HMAC-SHA256 w JwtBearerDefaults.cs. Atakujący mogą podpisać token z roszczeniem Name ustawionym na 'admin', aby wywoływać endpointy ApiAuthorize, modyfikując artykuły i produkty oraz czytając przesłane formularze.

Ocena ryzyka

Nieuwierzytelniony atakujący może uzyskać uprawnienia administratora, modyfikować treści (artykuły, produkty) i czytać przesłane formularze, co prowadzi do naruszenia integralności i poufności danych.

Rekomendacja

Zaktualizuj ZKEACMS do wersji nowszej niż 4.4 i zastąp zaszyty klucz podpisywania HMAC-SHA256 unikalnym, losowym kluczem przechowywanym w bezpiecznym miejscu.

Inne podatności w ZKEACMS

CVE-2025-52239Krytyczne
Podatność umożliwiająca dowolne przesyłanie plików w ZKEACMS v4.1 pozwala atakującym na wykonanie dowolnego kodu poprzez spreparowany plik.

Oryginalny opis (angielski, źródło NVD)

ZKEACMS through 4.4 contains an authentication bypass vulnerability that allows unauthenticated attackers to forge REST API JWT bearer tokens using a hard-coded HMAC-SHA256 signing key in JwtBearerDefaults.cs. Attackers can sign a token with the Name claim set to 'admin' to call ApiAuthorize endpoints, modifying articles and products and reading form submissions.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS