CVE-2026-97055 in SigNoz
Sumário
de VulDB • 24/09/2026
O SigNoz, nas versões desde a v0.8.0 até antes da v0.143.0, define por padrão o segredo de assinatura do tokenizador JWT (tokenizer::jwt::secret, configurado via SIGNOZ_TOKENIZER_JWT_SECRET ou a descontinuada SIGNOZ_JWT_SECRET) como uma string vazia, e Config.Validate() não rejeita esse valor vazio; portanto, um ambiente que não configure um segredo inicializa-se e assina e verifica tokens de sessão com uma chave HMAC vazia. Como o tokenizador JWT era o provedor padrão, qualquer implantação desse tipo é afetada. Um atacante sem autenticação que conheça o ID de um usuário existente pode forjar um token de sessão válido para esse usuário — incluindo um administrador — assinando as claims id, orgId e email com uma chave vazia; o ID da organização (e se um email está registrado) pode ser obtido sem autenticação em /api/v2/sessions/context. Um refresh token falsificado pode ser trocado em /api/v2/sessions/rotate por um novo par de tokens e não pode ser revogado, permanecendo utilizável durante toda a sua vida útil (30 dias por padrão). Corrigido na v0.143.0, que exige um segredo JWT quando o provedor jwt é selecionado e altera o provedor padrão para opaque.
If you want to get best quality of vulnerability data, you may have to visit VulDB.