جزئیات آسیب‌پذیری
CVE-2026-85391
Peppermint Lab Peppermint
Peppermint through 0.5.5 Use of Hard-coded JWT Signing Secret in docker-compose.yml
CVSS 4.0
9.3بحرانی
شرح رسمی (انگلیسی)
Peppermint through 0.5.5 contains a hardcoded JWT signing secret in docker-compose.yml that allows unauthenticated attackers to forge session tokens for any account. Attackers can use the published secret to mint valid tokens for arbitrary user IDs and access protected endpoints without credentials.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 9.3بحرانی | 4.0 | CVEProject cvelistV5 (CNA) (VulnCheck) | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N |
| 9.8بحرانی | 3.1 | CVEProject cvelistV5 (CNA) (VulnCheck) | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| Peppermint Lab | Peppermint | v ≤ 0.5.5 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۵- https://github.com/Peppermint-Lab/peppermint/issues/528 issue-tracking
- https://github.com/Peppermint-Lab/peppermint product
- https://github.com/Peppermint-Lab/peppermint/blob/0.5.5/docker-compose.yml technical-description
- https://github.com/Peppermint-Lab/peppermint/blob/0.5.5/apps/api/src/lib/jwt.ts technical-description
- https://www.vulncheck.com/advisories/peppermint-through-0.5.5-use-of-hard-coded-jwt-signing-secret-in-docker-compose-yml third-party-advisory
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۶/۱۲
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۶/۱۲
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- VulnCheck
پیش‌بینی بهره‌برداری (EPSS)
۰٫۶۴٪
احتمال بهره‌برداری در ۳۰ روز
۵۰٫۹٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- بله
- وضعیت بهره‌برداری
- ندارد
- اثر فنی
- کامل
ضعف‌ها (CWE)
- CWE-798Use of Hard-coded Credentials