CVE-2026-90945

KrytyczneCVSS 9.8

Opublikowano: 14/09/2026(UTC)Przetłumaczono: 15/09/2026(UTC)NVD NIST

Streszczenie

Crawlab do wersji 0.6.3 używa wbudowanego, stałego sekretu HMAC-SHA256 do podpisywania tokenów JWT, którego nie można zmienić przez konfigurację ani zmienne środowiskowe. Nieuwierzytelniony atakujący może sfałszować ważne tokeny administratora, uzyskać dostęp do API administracyjnych i wykonać kod na węzłach roboczych.

Ocena ryzyka

Ponieważ sekret jest publicznie znany i niezmienny, każdy może podszyć się pod administratora i przejąć kontrolę nad klastrem oraz węzłami roboczymi.

Rekomendacja

Zaktualizuj Crawlab do wersji, w której sekret JWT jest konfigurowalny, i natychmiast zmień/rotuj klucz podpisywania oraz unieważnij istniejące tokeny.

Inne podatności w Crawlab

CVE-2026-75103Wysokie
Crawlab nie weryfikuje własności użytkownika ani roli administracyjnej na punkcie końcowym zmiany hasła, co pozwala każdemu uwierzytelnionemu użytkownikowi na zresetowanie hasła dowolnego konta. Atakujący mogą enumerować konta użytkowników przez punkt końcowy listy użytkowników i zmienić poświadczenia administratora, aby uzyskać pełne przejęcie konta i dowolne wykonywanie kodu.

Oryginalny opis (angielski, źródło NVD)

Crawlab through 0.6.3 uses a hard-coded HMAC-SHA256 secret for JWT token signing that cannot be overridden via configuration or environment variables. Unauthenticated attackers can forge valid administrator tokens to access administrative APIs and execute code on worker nodes.