Descripción
OpenDeepWiki hasta la versión 2.0.6 contiene una vulnerabilidad de clave de firma JWT embebida en el código (hard-coded) que permite a atacantes no autenticados falsificar tokens de administrador utilizando la Jwt:SecretKey conocida públicamente en appsettings.json. Los atacantes pueden generar tokens bearer HS256 con un claim de rol Admin para acceder a los endpoints /api/admin y controlar usuarios, roles, repositorios, configuraciones y claves de API.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- OpenDeepWiki Afectadas: hasta 2.0.6
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Parchegithub.com/AIDotNet/OpenDeepWiki/commit/1bf0f4b5ef8d972ca640e5df145b5…
- Referencia en github.comgithub.com/AIDotNet/OpenDeepWiki/issues/403
- Referencia en github.comgithub.com/AIDotNet/OpenDeepWiki/blob/v2.0.6/src/OpenDeepWiki/appsett…
- Referencia en github.comgithub.com/AIDotNet/OpenDeepWiki/blob/v2.0.6/src/OpenDeepWiki/Program…
- Aviso de hackmd.iohackmd.io/@hieuPenguinnn/opendeepwiki-hardcoded-jwt-secret-admin-forg…
- Referencia en github.comgithub.com/AIDotNet/OpenDeepWiki
- Aviso de vulncheck.comvulncheck.com/advisories/opendeepwiki-through-2.0.6-hard-coded-jwt-si…
Ver el texto original en inglés (CVE.org)
OpenDeepWiki through 2.0.6 Hard-coded JWT Signing Key Admin Token Forgery
OpenDeepWiki through 2.0.6 contains a hard-coded JWT signing key vulnerability that allows unauthenticated attackers to forge administrator tokens using the publicly known Jwt:SecretKey in appsettings.json. Attackers can mint HS256 bearer tokens with an Admin role claim to access /api/admin endpoints and control users, roles, repositories, settings, and API keys.