事件持续更新
BotSharp 硬编码 JWT 密钥致鉴权绕过
先了解这件事
AI 综述
BotSharp 5.2.0 及之前版本存在鉴权绕过漏洞。据 VulnCheck 报道，未认证的远程攻击者可利用 WebStarter appsettings.json 中硬编码的 Jwt:Key 伪造 bearer token，冒充包括管理员在内的任意已知用户，访问受 Authorize 保护的 API 路由。攻击者使用已提交的 HMAC 密钥以及固定的 botsharp issuer 和 audience 即可签名令牌。
AI 根据报道生成 · 21 小时前更新
后续时间线
10月11日
- VulnCheckBotSharp 智能体框架硬编码 JWT 密钥，可伪造管理员令牌
BotSharp 5.2.0 及之前版本存在鉴权绕过漏洞，未认证的远程攻击者可利用 WebStarter appsettings.json 中硬编码的 Jwt:Key 伪造 bearer token，冒充包括管理员在内的任意已知用户，访问受 Authorize 保护的 API 路由。攻击者使用已提交的 HMAC 密钥以及固定的 botsharp issuer 和 audience 即可签名令牌。
相关讨论
关注度走势
每天新增来源
- 10月12日新增1个来源（1家媒体、0个账号）
- 10月13日新增0个来源（0家媒体、0个账号）