CVE-2026-62241 in clawvet
الملخص
بحسب VulDB • 17/07/2026
يحتوي خادم واجهة برمجة التطبيقات المستضاف ذاتيًا من Clawvet (apps/api) قبل الإصدار 0.7.5 على مفتاح JWT احتياطي ثابت ("clawvet-dev-secret-change-me") في ملف auth.ts، ويتم توزيعه كقيمة افتراضية في .env.example. ونظرًا لأن نقطة النهاية GET /api/v1/scans تُرجع سجلات الفحص التي تحتوي على قيم userId دون الحاجة إلى المصادقة، يمكن لمهاجم عن بُعد غير مصرح له جمع معرف المستخدم (userId) لضحية ما، ثم تزوير ملف تعريف ارتباط cg_session صالح باستخدام خوارزمية HS256 ومفتاح التشفير المعروف بشكل خارجي عن الشبكة، واستدعاء GET /api/v1/auth/me للحصول على عنوان البريد الإلكتروني للضحية وخطة الاشتراك الخاصة بها ورمز apiKey السري. حزمة clawvet المنشورة على npm (موجهة لسطر الأوامر فقط) غير متأثرة بهذه الثغرة.
If you want to get best quality of vulnerability data, you may have to visit VulDB.