یک آسیب‌پذیری امنیتی با شناسه CVE-2026-97055 در پلتفرم مانیتورینگ SigNoz شناسایی شده است که می‌تواند منجر به دسترسی غیرمجاز به سیستم شود. این مشکل در نسخه‌های 0.8.0 تا پیش از نسخه 0.143.0 وجود دارد.
جزئیات فنی آسیب‌پذیری
در نسخه‌های آسیب‌پذیر، مقدار پیش‌فرض برای رمز امضای توکنایزر JWT (که از طریق متغیرهای محیطی SIGNOZ_TOKENIZER_JWT_SECRET یا نسخه قدیمی‌تر SIGNOZ_JWT_SECRET تنظیم می‌شود) به صورت یک رشته خالی (Empty String) تعریف شده است. از آنجایی که متد Config.Validate() این مقدار خالی را رد نمی‌کند، هر استقرار (Deployment) که در آن رمز امنیتی پیکربندی نشده باشد، توکن‌های نشست (Session Tokens) را با یک کلید HMAC خالی امضا و تایید می‌کند.
تاثیرات امنیتی
- دسترسی غیرمجاز: به دلیل اینکه توکنایزر JWT ارائه‌دهنده پیش‌فرض است، تمامی استقراراتی که از تنظیمات پیش‌فرض استفاده می‌کنند تحت تاثیر قرار می‌گیرند.
- جعل توکن: یک مهاجم بدون احراز هویت (Unauthenticated Attacker) می‌تواند با دانستن این موضوع، توکن‌های JWT معتبر را جعل کرده و به محیط سیستم دسترسی پیدا کند.
راهکار رفع مشکل
کاربران باید سریعاً سیستم‌های خود را به نسخه v0.143.0 یا نسخه‌های جدیدتر به‌روزرسانی کنند. همچنین توصیه می‌شود برای متغیر SIGNOZ_TOKENIZER_JWT_SECRET یک مقدار پیچیده و امن تعریف شود تا از حملات احتمالی جلوگیری گردد.
