Convoy: Contournement de la vérification de la signature JWT permet l'authentification en tant qu'utilisateurs arbitraires

L'impact de cette vulnérabilité est significatif. Un attaquant capable de créer ou de modifier des jetons JWT peut compromettre la sécurité de l'ensemble du panneau Convoy. En falsifiant le payload d'un jeton, il pourrait modifier l'identité de l'utilisateur (user_uuid), accéder à des données sensibles, exécuter des commandes sur le serveur et potentiellement prendre le contrôle complet de l'infrastructure hébergée. Cette vulnérabilité présente un risque élevé de compromission, similaire à des failles d'authentification mal configurées qui permettent un accès non autorisé à des systèmes critiques.

Hosting businesses utilizing Convoy Panel to manage their KVM infrastructure are at significant risk. Specifically, deployments using older versions (3.9.0-beta through 4.5.0) are vulnerable. Shared hosting environments where multiple users share a single Convoy Panel instance are particularly exposed, as a compromise of one user's account could lead to broader system access.

• linux / server:

journalctl -u convoy-panel | grep -i "JWT decode failed"

• generic web:

curl -I <convoy_panel_url>/api/v1/users/me | grep -i "Authorization: Bearer"

Inspect the Authorization header for malformed or suspicious JWT tokens. • generic web: Review Convoy Panel access logs for unusual user agent strings or IP addresses attempting to access sensitive endpoints.

1. 2026-04-02Disclosure

   disclosure

2. 2026-04-03CISA KEV

   kev

1. Réservé2026-03-23
2. Publiée2026-04-02
3. EPSS mis à jour2026-04-10

La mitigation principale consiste à mettre à jour Convoy Panel vers la version 4.5.1, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, envisagez de mettre en œuvre des mesures temporaires. Il est possible de renforcer la validation des jetons JWT au niveau de l'application, en s'assurant que la contrainte SignedWith est incluse dans le processus de validation. L'utilisation d'un Web Application Firewall (WAF) configuré pour bloquer les jetons JWT malformés peut également offrir une protection supplémentaire. Surveillez attentivement les journaux d'accès et d'erreurs pour détecter toute activité suspecte liée à la manipulation de jetons.