CVE-2026-97055 in SigNoz
Résumé
par VulDB • 24/09/2026
SigNoz de la version 0.8.0 jusqu'à avant la v0.143.0 définit par défaut le secret de signature du tokenizer JWT (tokenizer::jwt::secret, défini via SIGNOZ_TOKENIZER_JWT_SECRET ou l'ancien SIGNOZ_JWT_SECRET) sur une chaîne vide, et Config.Validate() n'accepte pas cette valeur vide ; ainsi, un déploiement qui ne configure pas de secret démarre et signe et vérifie les jetons de session avec une clé HMAC vide. Étant donné que le tokenizer JWT était le fournisseur par défaut, tout tel déploiement est concerné. Un attaquant non authentifié qui connaît l'ID d'un utilisateur existant peut forger un jeton de session valide pour cet utilisateur — y compris un administrateur — en signant les revendications id, orgId et email avec une clé vide ; l'ID de l'organisation (et la présence ou non d'une adresse e-mail enregistrée) peuvent être obtenus sans authentification via /api/v2/sessions/context. Un jeton d'actualisation forgé peut être échangé contre un nouveau couple de jetons sur /api/v2/sessions/rotate et ne peut pas être révoqué, il reste donc utilisable pendant toute sa durée de vie (30 jours par défaut). Corrigé dans la v0.143.0, qui exige un secret JWT lorsque le fournisseur jwt est sélectionné et change le fournisseur par défaut en opaque.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.