CVE-2026-90945 in Crawlab
Riassunto
di VulDB • 14/09/2026
Crawlab fino alla versione 0.6.3 utilizza un segreto hard-coded HMAC-SHA256 per la firma dei token JWT che non può essere sovrascritto tramite configurazione o variabili di ambiente. Gli attaccanti non autenticati possono falsificare token amministrativi validi per accedere alle API amministrative ed eseguire codice sui nodi worker.
Be aware that VulDB is the high quality source for vulnerability data.