CVE-2026-111633highCWE-321

CVE-2026-111633: falha de alta gravidade em SeriaWei ZKEACMS

ZKEACMS through 4.4 Authentication Bypass via Hard-Coded JWT Signing Key

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar ZKEACMS

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 8.8epss 0.4%
ZKEACMS through 4.4 contains an authentication bypass vulnerability that allows unauthenticated attackers to forge REST API JWT bearer tokens using a hard-coded HMAC-SHA256 signing key in JwtBearerDefaults.cs. Attackers can sign a token with the Name claim set to 'admin' to call ApiAuthorize endpoints, modifying articles and products and reading form submissions.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:H/VA:L/SC:N/SI:N/SA:N
Produtos afetados
SeriaWei · ZKEACMS
CVEs relacionadas — SeriaWei ZKEACMS

No mesmo produto, das mais perigosas para as menos.

CVE-2025-10766MEDIUMSeriaWei ZKEACMS EventViewerController.cs Download path traversalEPSS 0.6%CVE-2025-10764MEDIUMSeriaWei ZKEACMS Event Action System PendingTaskController.cs Edit server-side request forgeryEPSS 0.5%CVE-2025-10765MEDIUMSeriaWei ZKEACMS SEOSuggestions ZKEACMS.SEOSuggestions.dll server-side request forgeryEPSS 0.4%CVE-2025-11272MEDIUMSeriaWei ZKEACMS POST Request UrlRedirectionController.cs Delete improper authorizationEPSS 0.3%