CVE-2026-33746

Convoy, hosting işletmeleri için bir KVM sunucu yönetim panelidir. 3.9.0-beta sürümünden 4.5.1 sürümü öncesine kadar olan versiyonlarda, JWTService::decode() metodu JWT belirteçlerinin kriptografik imzasını doğrulamıyordu. Metot, lcobucci/jwt aracılığıyla simetrik bir HMAC-SHA256 imzalayıcı yapılandırmış olsa da yalnızca StrictValidAt kısıtlamasını kullanarak zaman tabanlı talepleri (exp, nbf, iat) doğruluyordu. Doğrulama adımına SignedWith kısıtlaması dahil edilmemişti. Bu durum, bir saldırganın —user_uuid talebini değiştirmek gibi— JWT belirteç yüklerini taklit edebileceği veya üzerinde oynayabileceği ve zaman tabanlı talepler karşılandığı sürece belirtecin geçerli olarak kabul edileceği anlamına geliyordu. Bu durum doğrudan SSO kimlik doğrulama akışını (LoginController::authorizeToken) etkileyerek, bir saldırganın rastgele bir user_uuid içeren bir belirteç oluşturarak herhangi bir kullanıcı olarak kimlik doğrulamasına izin veriyordu. Bu sorun 4.5.1 sürümünde düzeltilmiştir.