KubePi's JWT token validation has a defect

KubePi, un panel de gestión de Kubernetes, tiene un defecto en la validación de tokens JWT donde la clave de seguridad predeterminada está vacía. Un atacante puede crear tokens de inicio de sesión falsificados usando esta clave vacía para eludir la autenticación y obtener acceso no autorizado al sistema.

CVE-2024-36111 afecta a KubePi versiones 1.6.3 a 1.7.x, donde la verificación JWT utiliza una clave vacía a pesar de que la lógica de configuración intenta generar un reemplazo aleatorio; esto permite que un atacante no autenticado falsifique tokens JWT válidos y evite los controles de autenticación para acceder al backend de gestión de Kubernetes. La vulnerabilidad existe en la lógica de verificación de token que no utiliza correctamente la clave generada.