JVNDB-2026-027526

MohibShaikhのClawVetにおける複数の脆弱性

clawvetのセルフホスト型APIサーバー（apps/api）のバージョン0.7.5未満では、auth.ts内にフォールバック用のJWTシークレット（'clawvet-dev-secret-change-me'）がハードコーディングされており、.env.exampleにもデフォルトで含まれています。GET /api/v1/scansは認証なしでuserIdの値を含むスキャン記録を返すため、リモートの未認証攻撃者は被害者のuserIdを収集し、既知のシークレットを用いてHS256の有効なcg_sessionクッキーをオフラインで偽造し、GET /api/v1/auth/meを呼び出して被害者のメールアドレス、サブスクリプションプラン、および秘密のapiKeyを取得できます。公開されているclawvetのnpmパッケージ（CLIのみ）は影響を受けません。

MohibShaikh

• ClawVet 0.7.5 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Hard-coded JWT Secret Allows Session Forgery and API Key Disclosure  Advisory  MohibShaikh/clawvet  GitHub

VulnCheck

• VulnCheck : clawvet < 0.7.5 Hard-coded JWT Secret Session Forgery  | Advisories | VulnCheck

1. 重要な機能に対する認証の欠如(CWE-306) [その他]
2. ハードコードされた暗号鍵の使用(CWE-321) [その他]

1. CVE-2026-62241

1. National Vulnerability Database (NVD) : CVE-2026-62241

• [2026年08月10日]
    掲載