CVE-2026-97055

v0.8.0 ile v0.143.0 arasındaki SigNoz sürümlerinde, JWT tokenizer imzalama sırrı (SIGNOZ_TOKENIZER_JWT_SECRET veya kullanımdan kaldırılan SIGNOZ_JWT_SECRET aracılığıyla ayarlanan tokenizer::jwt::secret) varsayılan olarak boş bir dizeye ayarlanmıştır ve Config.Validate() bu boş değeri reddetmemektedir; bu nedenle, bir sır yapılandırılmamış olan dağıtımlar başlatıldığında oturum belirteçlerini boş bir HMAC anahtarı ile hem imzalar hem de doğrular. JWT tokenizer varsayılan sağlayıcı olduğu için bu durumdaki tüm dağıtımlar etkilenmektedir. Mevcut bir kullanıcının kimliğini bilen kimliği doğrulanmamış bir saldırgan; id, orgId ve email taleplerini boş bir anahtar ile imzalayarak söz konusu kullanıcı (bir yönetici dahil) için geçerli bir oturum belirteci oluşturabilir; organizasyon kimliği (ve e-postanın kayıtlı olup olmadığı) /api/v2/sessions/context üzerinden kimlik doğrulaması olmadan elde edilebilir. Sahte bir yenileme belirteci (refresh token), /api/v2/sessions/rotate adresinde yeni bir belirteç çiftiyle değiştirilebilir ve iptal edilemez, dolayısıyla tüm ömrü boyunca (varsayılan olarak 30 gün) kullanılabilir kalır. Bu sorun, jwt sağlayıcısı seçildiğinde bir JWT sırrı gerektiren ve varsayılan sağlayıcıyı opaque olarak değiştiren v0.143.0 sürümünde düzeltilmiştir.