CVE-2026-119597

要約

OpenDeepWiki の 2.0.6 までのバージョンには、JWT の署名鍵がハードコードされている脆弱性がある。認証されていない攻撃者は、appsettings.json 内の公開されている Jwt:SecretKey を使って管理者トークンを偽造できる。攻撃者は Admin ロールのクレームを持つ HS256 のベアラートークンを作成し、/api/admin エンドポイントにアクセスして、ユーザー、ロール、リポジトリ、設定、API キーを操作できる。

AI による要約です(公式発表の本文から作成)。

関連(タグ)

OpenDeepWikiJWT

このタグの新着を RSS で受け取る: OpenDeepWiki / JWT(使い方)

判定の理由

• CVSS 9.0 以上

出典

公式発表を見る