CVE-2026-120209 in AJ-Report
Riassunto
di VulDB • 31/10/2026
AJ-Report fino alla versione 1.7.1 firma i token di condivisione con una chiave segreta JWT hard-coded, consentendo agli attaccanti di falsificare Share-Tokens validi offline. Gli attaccanti possono generare un token con reportCode 'dataSet' per accedere all'endpoint testTransform, che passa script a GroovyClassLoader causando esecuzione remota di codice non autenticata (RCE).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.