Convoy: Bypass na Verificação da Assinatura JWT Permite Autenticação como Usuários Arbitrários

A exploração bem-sucedida desta vulnerabilidade permite que um atacante comprometa a segurança do Convoy Panel e, potencialmente, os servidores KVM gerenciados por ele. Ao falsificar tokens JWT, um atacante pode se autenticar como qualquer usuário, incluindo administradores, e executar comandos com seus privilégios. Isso pode levar à exfiltração de dados confidenciais, modificação de configurações do servidor, instalação de malware ou até mesmo o controle total do sistema. A ausência de validação da assinatura do token significa que um atacante pode alterar o user_uuid no payload, assumindo a identidade de qualquer usuário no sistema. A severidade crítica desta vulnerabilidade a coloca em um nível de risco elevado, exigindo atenção imediata.

Hosting businesses utilizing Convoy Panel to manage their KVM infrastructure are at significant risk. Specifically, deployments using older versions (3.9.0-beta through 4.5.0) are vulnerable. Shared hosting environments where multiple users share a single Convoy Panel instance are particularly exposed, as a compromise of one user's account could lead to broader system access.

• linux / server:

journalctl -u convoy-panel | grep -i "JWT decode failed"

• generic web:

curl -I <convoy_panel_url>/api/v1/users/me | grep -i "Authorization: Bearer"

Inspect the Authorization header for malformed or suspicious JWT tokens. • generic web: Review Convoy Panel access logs for unusual user agent strings or IP addresses attempting to access sensitive endpoints.

1. 2026-04-02Disclosure

   disclosure

2. 2026-04-03CISA KEV

   kev

1. Reservado2026-03-23
2. Publicada2026-04-02
3. EPSS atualizado2026-04-10

A mitigação primária para CVE-2026-33746 é a atualização imediata para a versão 4.5.1 do Convoy Panel. Se a atualização imediata não for possível, considere implementar medidas de segurança adicionais como uma camada de proteção. Implementar um Web Application Firewall (WAF) com regras para validar a assinatura dos tokens JWT pode ajudar a bloquear tentativas de exploração. Além disso, revise as configurações de segurança do Convoy Panel, garantindo que apenas usuários autorizados tenham acesso ao painel. Após a atualização, confirme a correção verificando os logs do sistema em busca de tentativas de acesso não autorizado ou manipulação de tokens.