CVE-2026-48031

go-base, PostgreSQL tarafından desteklenen, JWT Kimlik Doğrulamalı bir Go RESTful API Boilerplate şablonudur. 2026-05-18 öncesi sürümlerde, JWT imzalama sırrı bilinen "random" dizesine sabit kodlanmıştır; bu da genel depoyu okuyan herhangi bir saldırganın yönetici rolleri de dahil olmak üzere rastgele kullanıcılar için token üretmesine ve tüm korumalı uç noktalarda kimlik doğrulamayı tamamen atlatmasına olanak tanır. Bu değer iki yerde ayarlanır: dev.env şablonu (10. satır) ve cmd/serve.go içindeki programatik yedek değer (35. satır), böylece uygulama .env dosyası mevcut olmasa bile bu değeri kullanır. auth/jwt/tokenauth.go içindeki (22 ila 25. satırlar) orijinal hafifletme yalnızca tam olarak "random" dizesini yakalıyor, diğer zayıf sırların geçmesine izin veriyordu ve bunu kalıcı olmayan bellek içi bir anahtarla değiştiriyordu; bu da her yeniden başlatmada tüm tokenları geçersiz kılarak etkili biçimde hizmet reddine neden oluyordu. Bu sorun 2026-05-18 sürümünde düzeltilmiştir.