- Yama var
- Son 7 gün
- CWE-321
CVE-2026-61737
ng-antd-admin hardcoded JWT gizli anahtarı nedeniyle kimlik doğrulama atlatma
- Yayımlandı
- Güncellendi
- 30 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Bu açık, yönetim panelinin kimlik doğrulama sisteminin dışarıdan kolayca aşılmasına izin verebilir. Yönetici hesapları ele geçirilirse müşteri verileri sızabilir ve sistem üzerinde yetkisiz değişiklikler yapılabilir. Etkilenen sistemlerin hemen kontrol edilip güvenlik anahtarlarının değiştirilmesi önerilir.
ÖzetTürkçe
ng-antd-admin, Angular ve NestJS tabanlı bir yönetim paneli şablonudur. 22.0 öncesi sürümlerde JWT imzalama için kodda sabit yazılmış bir varsayılan gizli anahtar bulunur ve dağıtımda bu anahtar değiştirilmediğinde saldırgan geçerli görünen token üretebilir. Sistem kullanıcıyı uyarmadan bu varsayılan anahtarla çalışmaya devam eder.
Saldırgan ne yapabilir?
Saldırgan kimlik doğrulamayı atlayarak yönetici dahil herhangi bir kullanıcıyı taklit edebilir, korumalı API uçlarına erişebilir, veri sızdırabilir ve yetkisiz işlemler yapabilir.
Kaynaktaki açıklama (İngilizce)
ng-antd-admin is an Angular and NestJS administration system template. Prior to 22.0, a hardcoded default JWT secret permits token forgery when a deployment has not replaced the default secret, without a startup warning. An attacker can bypass authentication and authorization, impersonate any user including administrators, and access protected API endpoints, leading to account takeover, data leakage and unauthorized operations. Version 22.0 rejects the shipped secret in production but permits it with a warning in non-production environments.
Ne yapmalı?
- Sürüm 22.0 veya üzerine yükseltin; bu sürüm yayımlanan varsayılan gizli anahtarı üretim ortamında reddeder. Üretici
- Yükseltme sonrasında JWT gizli anahtarını güçlü, rastgele ve yalnızca sunucuda saklanan bir değerle değiştirin. Genel öneri
- Varsayılan anahtarla imzalanmış olabilecek oturumları geçersiz kılın ve kullanıcıların yeniden giriş yapmasını sağlayın. Genel öneri
- Yönetici hesaplarında beklenmeyen oturum ve yetki değişikliklerini kayıtlardan inceleyin. Genel öneri
Ek önlemler
- Gizli anahtarları kod deposunda tutmayın; ortam değişkeni veya gizli bilgi yöneticisi kullanın. Genel öneri
- Üretim ortamında uyarı veren değil, başlatmayı durduran sıkı yapılandırma kontrolleri uygulayın. Genel öneri
- Yönetim paneline erişimi ağ düzeyinde kısıtlayın ve çok faktörlü kimlik doğrulama ekleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| huajian123 ng-antd-admin | < 22.0 | 22.0 |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.