ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
يحتوي ape-volo-admin قبل الإصدار 3.6.1 على ثغرة تجاوز للمصادقة تسمح للمهاجمين دون مصادقة بتزوير رموز المسؤولين باستخدام مفتاح توقيع JWT مدمج في الملف appsettings.json. يمكن للمهاجمين توقيع الرموز دون اتصال بالإنترنت مع ضبط مطالبة jti على معرف المسؤول المُعد سلفًا لجان تحكم كامل في واجهة برمجة التطبيقات عبر المستخدمين والأدوار والأحلام والبيانات.
المعالجة
المراجع
- تصحيحhttps://github.com/xianhc/ape-volo-admin/commit/938f7ec58047f0c63123dc155d6a033910f00933
- تحذيرhttps://www.vulncheck.com/advisories/ape-volo-admin-before-3.6.1-hardcoded-jwt-signing-key-authentication-bypass
- مرجعhttps://github.com/xianhc/ape-volo-admin/blob/V3.5.2/Ape.Volo.Api/appsettings.json#L4-L10
- مرجعhttps://github.com/xianhc/ape-volo-admin/blob/V3.5.2/Ape.Volo.Infrastructure/Authentication/PermissionHandler.cs#L130-L172
- مرجعhttps://github.com/xianhc/ape-volo-admin/blob/V3.5.2/Ape.Volo.Infrastructure/Extensions/AuthorizationExtensions.cs#L50-L60
- مرجعhttps://github.com/xianhc/ape-volo-admin/issues/36
- مرجعhttps://github.com/xianhc/ape-volo-admin/releases/tag/V3.6.1
- مرجعhttps://hackmd.io/@hieuPenguinnn/ape-volo-admin-hardcoded-jwt-secret-admin-token-forgery