CVE-2026-48031

go-base, PostgreSQL tərəfindən dəstəklənən və JWT Autentifikasiyasına malik olan Go RESTful API Boilerplate şablonudur. 2026-05-18 versiyasından əvvəlki versiyalarda JWT imzalama sirri (signing secret) məlum "random" sətiri ilə sabit kodlaşdırılıb (hardcoded). Bu, ictimai repozitoriyanı oxuyan hər hansı hücumçunun, o cümlədən admin rolları üçün istənilən istifadəçi adına saxta tokenlər yaratmasına və bütün qorunan son nöqtələrdə (endpoints) autentifikasiyadan tamamilə yan keçməsinə şərait yaradır. Bu dəyər iki yerdə təyin edilib: dev.env şablonunda (sətir 10) və cmd/serve.go faylında proqram təminatı səviyyəsində ehtiyat variantda (fallback, sətir 35), buna görə də tətbiq .env faylı mövcud olmadıqda belə ondan istifadə edir. auth/jwt/tokenauth.go faylındakı (sətirlər 22-dən 25-ə qədər) orijinal tədbir yalnız dəqiq "random" sətirini aşkar edirdi, digər zəif sirlərin keçməsinə icazə verirdi və onu yaddaşda saxlanılan (in-memory) və qalıcı olmayan açarla əvəz edirdi; bu isə hər yenidən başlatma zamanı bütün tokenləri etibarsızlaşdıraraq effektiv şəkildə xidmətdən imtinaya (DoS) səbəb olurdu. Bu problem 2026-05-18 versiyasında düzəldilmişdir.