CVE-2026-62241
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
Serwer API clawvet (self-hosted) przed wersją 0.7.5 zawiera zakodowany na stałe domyślny sekret JWT ('clawvet-dev-secret-change-me') w pliku auth.ts oraz w .env.example. Ponadto endpoint GET /api/v1/scans zwraca rekordy skanów zawierające identyfikatory użytkowników bez wymagania uwierzytelnienia, co pozwala zdalnemu, nieuwierzytelnionemu atakującemu na zebranie identyfikatora ofiary, sfałszowanie ważnego ciasteczka sesyjnego cg_session (HS256) przy użyciu znanego sekretu, a następnie wywołanie GET /api/v1/auth/me w celu uzyskania adresu e-mail, planu subskrypcji oraz tajnego klucza API ofiary.
Ocena ryzyka
Organizacja narażona jest na kradzież danych uwierzytelniających użytkowników (adres e-mail, klucz API) oraz dostęp do wrażliwych informacji o subskrypcji, co może prowadzić do nieautoryzowanego dostępu do kont i dalszych ataków na system.
Rekomendacja
Należy natychmiast zaktualizować serwer API clawvet do wersji 0.7.5 lub nowszej oraz zmienić domyślny sekret JWT na silny, unikalny klucz w konfiguracji produkcyjnej.
Oryginalny opis (angielski, źródło NVD)
clawvet self-hosted API server (apps/api) before 0.7.5 hard-codes a fallback JWT secret ('clawvet-dev-secret-change-me') in auth.ts and ships it as the default in .env.example. Because GET /api/v1/scans returns scan records containing userId values without authentication, a remote unauthenticated attacker can harvest a victim's userId, forge a valid HS256 cg_session cookie offline using the known secret, and call GET /api/v1/auth/me to obtain the victim's email address, subscription plan, and secret apiKey. The published clawvet npm package (CLI only) is not affected.