CVE-2026-111692 · CVSS 9.8 · DataBuff ai-apm-web through 0.1.10 contains an authentication bypass vulnerability that allows unauthenticated attackers to forge admin …

NVD (CVSS crítico) · 16 oct, 20:17

DataBuff ai-apm-web versiones hasta 0.1.10 contiene un bypass de autenticación que permite a atacantes no autenticados forjar tokens de sesión admin utilizando la clave HMAC hardcodeada en JwtTokenService. Los atacantes pueden firmar un payload con credenciales de admin y una fecha de expiración futura empleando la clave dev-secret por defecto para obtener acceso administrativo completo a las rutas /webapi protegidas, incluyendo la API de consultas Doris SQL.