CVE-2026-72561

Peppermint do wersji 0.5.5 zawiera zakodowany na stałe sekret podpisywania JWT w pliku docker-compose.yml, co pozwala nieuwierzytelnionym atakującym na fałszowanie tokenów sesji dla dowolnego konta. Atakujący mogą użyć opublikowanego sekretu do generowania ważnych tokenów dla dowolnych identyfikatorów użytkowników i uzyskać dostęp do chronionych punktów końcowych bez poświadczeń.

Peppermint w wersji do 0.5.5 zawiera podatność polegającą na braku autoryzacji, która pozwala dowolnemu uwierzytelnionemu użytkownikowi tworzyć wpisy czasu i załączniki jako inni użytkownicy poprzez podanie identyfikatora użytkownika w treści żądania. Atakujący może wysyłać żądania POST do /api/v1/time/new lub /api/v1/storage/ticket/:id/upload/single, aby dołączać pliki i rekordy czasu do dowolnego zgłoszenia pod tożsamością innego użytkownika.

Peppermint do wersji 0.5.5 zawiera podatność na ominięcie autoryzacji w punkcie końcowym GET /api/v1/auth/user/:id/logout, która pozwala uwierzytelnionym atakującym na usuwanie sesji dowolnego użytkownika poprzez podanie dowolnych identyfikatorów użytkowników. Atakujący mogą wymusić wylogowanie dowolnego użytkownika, w tym administratorów, wywołując procedurę wylogowania z identyfikatorem innego użytkownika, ponieważ punkt końcowy nie przeprowadza żadnych kontroli autoryzacji w celu weryfikacji, czy wywołujący jest właścicielem docelowego konta.

Podatność złamanej kontroli dostępu w Peppermint do commit ba6e217 wynika z domyślnej wartości false flagi Config.roles_active, co powoduje, że wszystkie sprawdzenia uprawnień dla ticketów, klientów i użytkowników są ignorowane w domyślnych instalacjach. Uwierzytelnieni użytkownicy mogą ominąć kontrolę własności i uprawnień administracyjnych. Atakujący z dowolnym kontem użytkownika może odczytywać, modyfikować lub usuwać tickety, klientów i użytkowników należących do innych kont.