9.8
CVSS 3.1
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката може да се автоматизира
Описание
Оригинално описание
Peppermint through 0.5.5 contains a hardcoded JWT signing secret in docker-compose.yml that allows unauthenticated attackers to forge session tokens for any account. Attackers can use the published secret to mint valid tokens for arbitrary user IDs and access protected endpoints without credentials.
Засегнати продукти
- Peppermint-Lab peppermint: до 0.5.5
Вид слабост
История
- 3 септември 2026 Публикувано
Други уязвимости в Peppermint-Lab peppermint
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-85391
- https://nvd.nist.gov/vuln/detail/CVE-2026-85391
- https://github.com/Peppermint-Lab/peppermint/issues/528
- https://github.com/Peppermint-Lab/peppermint
- https://github.com/Peppermint-Lab/peppermint/blob/0.5.5/docker-compose.yml
- https://github.com/Peppermint-Lab/peppermint/blob/0.5.5/apps/api/src/lib/jwt.ts
- https://www.vulncheck.com/advisories/peppermint-through-0.5.5-use-of-hard-coded-jwt-signing-secret-in-docker-compose-yml