CVE-2026-111692 in DataBuff
Riassunto
di VulDB • 16/10/2026
DataBuff ai-apm-web fino alla versione 0.1.10 contiene una vulnerabilità di bypass dell'autenticazione che consente agli attaccanti non autenticati di falsificare i token di sessione amministrativa utilizzando la chiave segreta HMAC hardcoded in JwtTokenService. Gli attaccanti possono firmare un payload contenente il ruolo di admin e una data di scadenza futura con il dev-secret predefinito per ottenere l'accesso amministrativo completo alle rotte /webapi protette, inclusa l'API delle query SQL Doris.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.