- Son 7 gün
- CWE-321
CVE-2026-119597
OpenDeepWiki'de sabit kodlanmış JWT imzalama anahtarı nedeniyle yönetici token'ı sahteciliği
- Yayımlandı
- Güncellendi
- 30 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açıklık, yönetici yetkisinin herkes tarafından taklit edilebilmesi anlamına gelir ve sistemin tamamen ele geçirilmesine yol açabilir. Kritik seviyede bir risktir ve etkilenen sürümler hemen kontrol edilip güncellenmelidir.
ÖzetTürkçe
OpenDeepWiki 2.0.6 ve öncesi sürümlerde JWT imzalama anahtarı yapılandırma dosyasında (appsettings.json) sabit kodlanmış olarak bulunmaktadır ve bu anahtar herkese açık durumdadır. Kimlik doğrulaması yapılmadan, bu bilinen anahtarla HS256 algoritmalı bearer token'ları üretilebilir. Etkilenen tüm kurulumlar risk altındadır.
Saldırgan ne yapabilir?
Saldırgan, Admin rolü içeren sahte token ile /api/admin uç noktalarına erişebilir; kullanıcıları, rolleri, depoları, ayarları ve API anahtarlarını ele geçirebilir veya değiştirebilir.
Kaynaktaki açıklama (İngilizce)
OpenDeepWiki through 2.0.6 contains a hard-coded JWT signing key vulnerability that allows unauthenticated attackers to forge administrator tokens using the publicly known Jwt:SecretKey in appsettings.json. Attackers can mint HS256 bearer tokens with an Admin role claim to access /api/admin endpoints and control users, roles, repositories, settings, and API keys.
Ne yapmalı?
- Üretici tarafından belirtilmiş sabit bir düzeltme sürümü bulunmadığından, OpenDeepWiki'yi güvenli bir sürüme yükseltmeden önce resmi depo ve sürüm notlarını kontrol edin. Genel öneri
- appsettings.json içindeki JWT imzalama anahtarını derhal değiştirin; bu anahtarı rastgele, uzun ve yalnızca ortam değişkeni ya da gizli yönetim sistemi üzerinden sağlanan bir değerle değiştirin. Genel öneri
- Anahtar değiştirildikten sonra mevcut tüm oturumları geçersiz kılın ve yönetici hesaplarının parolalarını ve API anahtarlarını yenileyin. Genel öneri
- /api/admin uç noktalarına erişimi ağ düzeyinde yalnızca yetkili IP adresleriyle sınırlayın veya bu uç noktaları geçici olarak internetten erişilemez hale getirin. Genel öneri
- Yönetici uç noktalarına gelen istekleri ve olağandışı yönetici işlemlerini inceleyerek, anahtar değişikliğinden önce sahte token ile yapılmış olabilecek erişimleri araştırın. Genel öneri
Ek önlemler
- Uygulama yapılandırmasında hiçbir gizli anahtarı kaynak koduna veya yapılandırma dosyasına sabit olarak yazmayın. Genel öneri
- Yönetici arayüzlerini internete doğrudan açmayın; VPN veya ters vekil arkasında tutun. Genel öneri
- Kimlik doğrulama ve yönetici işlemleri için kayıt (log) tutun ve anormal yönetici etkinliğini izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| AIDotNet OpenDeepWiki | ≤ 2.0.6 | – |
Kaynaklar9 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…ommit/1bf0f4b5ef8d972ca640e5df145b5813a9492544 Yama
- github.com/AIDotNet/OpenDeepWiki/issues/403 Üçüncü taraf
- hackmd.io/…pendeepwiki-hardcoded-jwt-secret-admin-forgery Üçüncü taraf
- vulncheck.com/…hard-coded-jwt-signing-key-admin-token-forgery Üçüncü taraf
- github.com/…/blob/v2.0.6/src/OpenDeepWiki/appsettings.json Diğer
- github.com/…epWiki/blob/v2.0.6/src/OpenDeepWiki/Program.cs Diğer
- github.com/AIDotNet/OpenDeepWiki Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.