tongcheng-security-team NextScan
NextScan ns-admin: bypass dell'autenticazione con chiave JWT fissa nel codice
Il problema, secondo i dati ufficiali
- In ns-admin di NextScan la chiave usata per firmare i token JWT è scritta nel codice (hardcoded). Chi la conosce può firmare da sé un X-Access-Token HS256 che riporta l'ID pubblico del ruolo di super amministratore, falsificando un token da amministratore.
- Può sfruttarla un attaccante non autenticato, via rete e senza bisogno di un account. Ottiene accesso completo alla gestione utenti, alle attività di scansione e ai risultati di vulnerabilità memorizzati.
Cosa fare
- I dati ufficiali della CVE non indicano una versione corretta: segui l'avviso del produttore.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Versioni interessate
- NextScan: dalla 1.1.0 alla 1.2.0 inclusa
Fonti ufficiali
- github.com — riferimento
- github.com — riferimento
- hub.docker.com — riferimento
- vul.yulun.ac.cn — riferimento
- www.vulncheck.com — riferimento
Descrizione ufficiale (in inglese)
NextScan 1.1.0 through 1.2.0 contains an authentication bypass vulnerability in ns-admin that allows unauthenticated attackers to forge administrator tokens using a hardcoded JWT signing key. Attackers can sign an HS256 X-Access-Token carrying the public super administrator role ID to gain full access to user management, scan tasks and stored vulnerability results.
Non sai se ti riguarda?
Se usi tongcheng-security-team NextScan e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Ultimo aggiornamento: 13 novembre 2026. Prima di intervenire verifica l'avviso del produttore.