CVE-2026-120209 in AJ-Report
Zusammenfassung
von VulDB • 31.10.2026
AJ-Report bis Version 1.7.1 signiert Freigabetoken (Share-Tokens) mit einem fest codierten JWT-Schlüssel, was es Angreifern ermöglicht, gültige Share-Tokens offline zu fälschen. Angreifer können ein Token mit dem reportCode 'dataSet' erstellen, um auf den Endpunkt testTransform zuzugreifen, der Skripte an GroovyClassLoader übergibt und so eine nicht authentifizierte Remote-Code-Ausführung (RCE) ermöglicht.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.