Convoy: JWT हस्ताक्षर सत्यापन बाईपास से मनमाना उपयोगकर्ताओं के रूप में प्रमाणीकरण की अनुमति मिलती है

यह दोष हमलावरों को Convoy Panel में अनधिकृत पहुंच प्राप्त करने की अनुमति देता है। वे JWT टोकन के पेलोड को बदलकर उपयोगकर्ता आईडी (user_uuid) जैसे महत्वपूर्ण डेटा को संशोधित कर सकते हैं। इससे वे व्यवस्थापक के विशेषाधिकार प्राप्त कर सकते हैं या संवेदनशील जानकारी तक पहुंच प्राप्त कर सकते हैं। इस दोष का उपयोग करके, हमलावर पैनल को नियंत्रित कर सकते हैं, डेटा चोरी कर सकते हैं, या सिस्टम को नुकसान पहुंचा सकते हैं। यह दोष विशेष रूप से गंभीर है क्योंकि यह पैनल के सुरक्षा तंत्र को दरकिनार करने की अनुमति देता है, जिससे सिस्टम की सुरक्षा भंग हो सकती है। इस प्रकार की कमजोरी लॉग4शेल जैसे अन्य गंभीर कमजोरियों के समान शोषण पैटर्न का पालन कर सकती है, जहां टोकन सत्यापन में कमी का फायदा उठाया जाता है।

Hosting businesses utilizing Convoy Panel to manage their KVM infrastructure are at significant risk. Specifically, deployments using older versions (3.9.0-beta through 4.5.0) are vulnerable. Shared hosting environments where multiple users share a single Convoy Panel instance are particularly exposed, as a compromise of one user's account could lead to broader system access.

• linux / server:

journalctl -u convoy-panel | grep -i "JWT decode failed"

• generic web:

curl -I <convoy_panel_url>/api/v1/users/me | grep -i "Authorization: Bearer"

Inspect the Authorization header for malformed or suspicious JWT tokens. • generic web: Review Convoy Panel access logs for unusual user agent strings or IP addresses attempting to access sensitive endpoints.

1. 2026-04-02Disclosure

   disclosure

2. 2026-04-03CISA KEV

   kev

1. आरक्षित2026-03-23
2. प्रकाशित2026-04-02
3. EPSS अद्यतन2026-04-10

Convoy Panel को संस्करण 4.5.1 में अपडेट करना इस दोष को ठीक करने का सबसे प्रभावी तरीका है। यदि तत्काल अपडेट संभव नहीं है, तो एक अस्थायी समाधान के रूप में, आप वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके JWT टोकन सत्यापन को लागू कर सकते हैं। WAF को उन अनुरोधों को ब्लॉक करने के लिए कॉन्फ़िगर किया जाना चाहिए जिनमें अमान्य या छेड़छाड़ किए गए JWT टोकन हैं। इसके अतिरिक्त, आप Convoy Panel के कॉन्फ़िगरेशन की समीक्षा करके सुनिश्चित कर सकते हैं कि सभी आवश्यक सुरक्षा उपाय सक्षम हैं। अपडेट करने के बाद, यह सत्यापित करें कि JWT टोकन ठीक से सत्यापित हो रहे हैं और अनधिकृत पहुंच को रोका जा रहा है।