CVE-2026-97055 in SigNoz
Resumen
por VulDB • 2026-09-24
SigNoz desde la versión 0.8.0 hasta antes de la v0.143.0 establece por defecto el secreto de firma del tokenizador JWT (tokenizer::jwt::secret, configurado mediante SIGNOZ_TOKENIZER_JWT_SECRET o la obsoleta SIGNOZ_JWT_SECRET) como una cadena vacía, y Config.Validate() no rechaza este valor vacío; por lo tanto, un despliegue que no configure un secreto se inicia correctamente y firma y verifica los tokens de sesión con una clave HMAC vacía. Dado que el tokenizador JWT era el proveedor predeterminado, cualquier despliegue afectado está comprometido. Un atacante sin autenticación que conozca la ID de un usuario existente puede forjar un token de sesión válido para ese usuario —incluyendo a un administrador— firmando las claims id, orgId y email con una clave vacía; el ID de organización (y si hay un correo electrónico registrado) se pueden obtener sin autenticación desde /api/v2/sessions/context. Un token de actualización forjado puede intercambiarse en /api/v2/sessions/rotate por un nuevo par de tokens y no puede ser revocado, por lo que permanece utilizable durante toda su vida útil (30 días por defecto). Corregido en v0.143.0, el cual requiere un secreto JWT cuando se selecciona el proveedor jwt y cambia el proveedor predeterminado a opaque.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.