CVE-2026-5622
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
W hcengineering Huly Platform 0.7.382, komponent JWT Token Handler w pliku foundations/core/packages/token/src/token.ts używa zakodowanego na stałe klucza kryptograficznego (SERVER_SECRET z wartością 'secret'). Atak może być przeprowadzony zdalnie, ale jest uważany za trudny ze względu na wysoką złożoność. Producent nie odpowiedział na zgłoszenie.
Ocena ryzyka
Organizacja narażona jest na ryzyko nieautoryzowanego generowania tokenów JWT, co może prowadzić do podszywania się pod użytkowników i nieautoryzowanego dostępu do systemu.
Rekomendacja
Należy natychmiast zmienić domyślny klucz SERVER_SECRET na silny, losowy klucz oraz zaktualizować platformę Huly do wersji zawierającej poprawkę.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in hcengineering Huly Platform 0.7.382. Affected by this issue is some unknown functionality of the file foundations/core/packages/token/src/token.ts of the component JWT Token Handler. This manipulation of the argument SERVER_SECRET with the input secret causes use of hard-coded cryptographic key . The attack can be initiated remotely. The attack is considered to have high complexity. The exploitation is known to be difficult. The vendor was contacted early about this disclosure but did not respond in any way.