go2ismail Asp.Net-Core-Inventory-Order-Management-System
Asp.Net-Core-Inventory-Order-Management-System: token falsi danno accesso admin all'API
Il problema, secondo i dati ufficiali
- La chiave di firma JWT, l'issuer e l'audience sono scritti in modo fisso (hard-coded) in appsettings.json. Per questo si possono creare token falsi per qualsiasi ID utente e ruolo che il validatore in Tokens/DI.cs accetta come validi.
- Può sfruttarla un attaccante remoto non autenticato, via rete e senza account. Falsificando un token ottiene accesso da amministratore a tutta l'API.
- Secondo la CISA l'attacco si può automatizzare.
Cosa fare
- Aggiorna Asp.Net-Core-Inventory-Order-Management-System alla versione 10.20261109 o successiva.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Versioni interessate
- Asp.Net-Core-Inventory-Order-Management-System: prima della 10.20261109
Fonti ufficiali
- github.com — patch
- github.com — patch
- github.com — note di rilascio
- github.com — riferimento
- github.com — riferimento
Descrizione ufficiale (in inglese)
INDOTALENT WHMS (Asp.Net-Core-Inventory-Order-Management-System) before 10.20261109 contains an authentication bypass vulnerability caused by a hard-coded JWT signing key, issuer and audience in appsettings.json. Unauthenticated remote attackers can forge tokens for any user ID and role that the Tokens/DI.cs validator trusts, gaining administrator access to the entire API.
Non sai se ti riguarda?
Se usi go2ismail Asp.Net-Core-Inventory-Order-Management-System e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Non è più tra le allerte recenti: i dati sono quelli dell'ultimo aggiornamento. Ultimo aggiornamento: 12 novembre 2026. Prima di intervenire verifica l'avviso del produttore.