CVE-2026-62253

GitHubCrítica, go

Homer: Contorno completo de autenticação quando coordinator.jwt.secret está vazio (padrão)

Traduzido automaticamente do inglês.

Ambas as funções de middleware JWT (JWTMiddleware e JWTMiddlewareV4) retornam imediatamente next(c) quando jwtSecret == "". O segredo JWT padrão é uma string vazia. Em uma instalação padrão, todos os endpoints de API protegidos sob /api/v1, /api/v3 e /api/v4 estão completamente sem autenticação.

Sem exploração conhecida
Gravidade: Crítica, CVSS 9.8 (v3.1)
EPSS: 0,42% de chance de exploração em 30 dias (EPSS, em 23 de out. de 2026)
Pacotes afetados: github.com/sipcapture/homer-app (go) < 0.0.0-20260625093330-5e90809657c9, corrigido em 0.0.0-20260625093330-5e90809657c9 · GHSA-rqcc-94gv-wjm9