یک آسیب‌پذیری امنیتی جدید با شناسه CVE-2026-105147 در نرم‌افزار SciPhi-AI R2R (نسخه‌های تا 3.6.6) شناسایی شده است. این نقص امنیتی ناشی از استفاده از کلیدهای امضای سخت‌افزاری (Hard-coded signing keys) در مدیریت توکن‌های JWT است.
جزئیات فنی و مکانیسم حمله
در این محصول، مقادیر پیش‌فرض برای DEFAULT_BCRYPT_SECRET_KEY و DEFAULT_NACL_SECRET_KEY به صورت سخت‌افزاری تعریف شده‌اند. در صورتی که مدیران سیستم این مقادیر پیش‌فرض را با کلیدهای سفارشی جایگزین نکرده باشند، مهاجمان می‌توانند به صورت از راه دور و بدون نیاز به احراز هویت (Unauthenticated)، توکن‌های JWT جعلی بسازند.
این نقص منجر به Auth Bypass یا دور زدن کامل مکانیزم‌های احراز هویت می‌شود و به مهاجم اجازه می‌دهد با دسترسی سطح بالا به داده‌ها و عملکردهای سیستم دست یابد (تأثیر بالا بر محرمانگی و یکپارچگی داده‌ها – C:H/I:H).
سایر نقاط ضعف شناسایی شده
علاوه بر مشکل کلیدهای سخت‌افزاری، تحلیل‌های تکمیلی نشان‌دهنده وجود آسیب‌پذیری‌های دیگر در نسخه‌های 3.6.6 و پایین‌تر است، از جمله:
- Stacked SQL Injection: امکان اجرای دستورات SQL دلخواه توسط مهاجمان بدون احراز هویت.
- Blind SQL Injection: استخراج داده‌ها از پایگاه داده اپلیکیشن.
- SSRF: امکان بهره‌برداری از جعل درخواست‌های سمت سرور (Server-Side Request Forgery).
- IDOR: نقص در API گفتگوها که به کاربران احراز هویت شده اجازه تغییر اشیاء غیرمجاز را می‌دهد.
توصیه‌های امنیتی
برای رفع این مشکل، سازمان‌ها باید فوراً مقادیر پیش‌فرض کلیدهای رمزنگاری را تغییر داده و از Custom Secrets استفاده کنند. همچنین توصیه می‌شود تمامی نقاط اتصال (Endpoints) API و احراز هویت که در معرض شبکه هستند، مورد بررسی و سخت‌سازی قرار گیرند.
