CVE-2026-52539
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Outstatic CMS w wersji 2.1.9 i starszych zawiera zakodowany na stałe sekret podpisywania JWT. Gdy zmienna środowiskowa OST_TOKEN_SECRET nie jest ustawiona, aplikacja używa domyślnego sekretu widocznego publicznie w repozytorium kodu źródłowego.
Ocena ryzyka
Nieuwierzytelniony zdalny atakujący może sfałszować tokeny sesji JWT z dowolnymi danymi użytkownika i pełnymi uprawnieniami administracyjnymi, co prowadzi do całkowitego przejęcia systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację Outstatic CMS do wersji 2.2.0 lub nowszej oraz ustawienie silnego, unikalnego sekretu w zmiennej środowiskowej OST_TOKEN_SECRET.
Oryginalny opis (angielski, źródło NVD)
Outstatic CMS <= 2.1.9 contains a hardcoded JWT signing secret. When the OST_TOKEN_SECRET environment variable is not set, the application falls back to the default value which is publicly visible in the source code repository. An unauthenticated remote attacker can exploit this by forging JWT session tokens with arbitrary user data and full administrative permissions.