CVSS 9.0 以上
CVE-2026-120442
要約
ape-volo-admin の 3.6.1 より前のバージョンには、認証バイパスの脆弱性が存在する。appsettings.json にハードコードされた JWT 署名鍵を使い、認証されていない攻撃者が管理者トークンを偽造できる。攻撃者は jti クレームに初期登録された管理者 ID を設定してオフラインでトークンに署名し、ユーザー、ロール、権限、データに対する API の完全な制御を得られる。
AI による要約です(公式発表の本文から作成)。
関連(タグ)
ape-volo-adminJWT
このタグの新着を RSS で受け取る: ape-volo-admin / JWT(使い方)
判定の理由
- CVSS 9.0 以上