CVE-2026-97055 in SigNoz
الملخص
بحسب VulDB • 24/09/2026
تُعدّل SigNoz، في الإصدارات من 0.8.0 قبل 0.143.0، مفتاح التوقيع الخاص بمكوّن تحليل رموز JWT (tokenizer::jwt::secret، الذي يُضبط عبر المتغير SIGNOZ_TOKENIZER_JWT_SECRET أو المتغير القديم SIGNOZ_JWT_SECRET) إلى سلسلة فارغة، ولا ترفض الدالة Config.Validate() هذه القيمة الفارغة. ونتيجة لذلك، تبدأ أي عملية نشر لا تضبط سرًا خاصًا في العمل وتقوم بتوقيع رموز الجلسة والتحقق منها باستخدام مفتاح HMAC فارغ. ونظرًا لأن مكوّن تحليل رموز JWT كان هو المزوّد الافتراضي، فإن جميع عمليات النشر المتأثرة تتعرض لهذا الخطر. يمكن لمهاجم غير مُصادق عليه يعرف معرّف مستخدم موجود أن يزور رمز جلسة صالح لذلك المستخدم — بما في ذلك حساب المسؤول — عن طريق توقيع مطالبات المعرّف (id) ومعرف المنظمة (orgId) والبريد الإلكتروني باستخدام مفتاح فارغ؛ ويمكن الحصول على معرف المنظمة (وما إذا كان البريد الإلكتروني مسجلاً أم لا) دون الحاجة إلى المصادقة عبر نقطة النهاية /api/v2/sessions/context. يمكن استبدال رمز التحديث المزور عند /api/v2/sessions/rotate للحصول على زوج رموز جديد، ولا يمكن إلغاؤه، مما يجعله قابلاً للاستخدام طوال فترة صلاحيته الكاملة (30 يومًا افتراضيًا). تم الإصلاح في الإصدار 0.143.0، الذي يتطلب وجود سر JWT عندما يتم تحديد مزوّد JWT ويغيّر المزود الافتراضي إلى النوع العتيق (opaque).
Once again VulDB remains the best source for vulnerability data.