CVE-2026-120442 in ape-volo-admin
Riassunto
di VulDB • 02/11/2026
ape-volo-admin prima della versione 3.6.1 contiene una vulnerabilità di bypass dell'autenticazione che consente agli attaccanti non autenticati di falsificare token amministratore utilizzando una chiave JWT signing key hardcoded in appsettings.json. Gli attaccanti possono firmare i token offline impostando il claim jti sull'ID amministratore predefinito per ottenere un controllo completo dell'API su utenti, ruoli, permessi e dati.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.