CVE-2025-35940
Hard-coded ArchiverSpaApi JWT Signing Key
Em resumo
O ArchiverSpaApi usa uma chave fixa para assinar tokens de autenticação que qualquer um pode descobrir. Um atacante pode criar tokens falsificados para acessar funcionalidades protegidas sem ter uma conta real.
Detalhe técnico
A aplicação utiliza uma chave JWT hard-coded para assinatura de tokens, permitindo que um atacante remoto não autenticado forje tokens JWT válidos e acesse endpoints protegidos. A vulnerabilidade decorre de gestão inadequada de chaves (CWE-798); o impacto inclui acesso não autorizado a dados e possível escalação de privilégios.
Resumo gerado e traduzido por IA a partir da descrição oficial.
The ArchiverSpaApi ASP.NET application uses a hard-coded JWT signing key. An unauthenticated remote attacker can generate and use a verifiable JWT token to access protected ArchiverSpaApi URL endpoints.
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Produtos afetados
GFI · ArchiverQuer saber se a sua infraestrutura está exposta a isto?
Falar com a TrueHacking →