ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
يحتوي OpenDeepWiki حتى الإصدار 2.0.6 على ثغرة مفتاح توقيع JWT مدمج مسبقاً، مما يسمح للمهاجمين دون مصادقة بتزييف رموز المسؤول باستخدام مفتاح Jwt:SecretKey المعروف علناً في ملف appsettings.json. يمكن للمهاجمين صك رموز حاملة (Bearer tokens) بصيغة HS256 مع مطالبة بدور المسؤول (Admin) للوصول إلى نقاط النهاية /api/admin والتحكم في المستخدمين والأدوار والمستودعات والإعدادات ومفاتيح API.
المعالجة
المراجع
- تصحيحhttps://github.com/AIDotNet/OpenDeepWiki/commit/1bf0f4b5ef8d972ca640e5df145b5813a9492544
- تحذيرhttps://hackmd.io/@hieuPenguinnn/opendeepwiki-hardcoded-jwt-secret-admin-forgery
- تحذيرhttps://www.vulncheck.com/advisories/opendeepwiki-through-2.0.6-hard-coded-jwt-signing-key-admin-token-forgery
- مرجعhttps://github.com/AIDotNet/OpenDeepWiki
- مرجعhttps://github.com/AIDotNet/OpenDeepWiki/blob/v2.0.6/src/OpenDeepWiki/Program.cs#L92
- مرجعhttps://github.com/AIDotNet/OpenDeepWiki/blob/v2.0.6/src/OpenDeepWiki/appsettings.json#L27
- مرجعhttps://github.com/AIDotNet/OpenDeepWiki/issues/403