Apa yang terjadi
CVE-2026-111692 (CVSS 9.8, CWE-321) diverifikasi melalui NVD REST API (dipublikasikan 2026-10-16 oleh VulnCheck): rahasia HMAC penandatanganan JWT di-hardcode ke dev-secret default di JwtTokenService/config, sehingga penyerang tanpa autentikasi dapat memalsukan token admin dengan kedaluwarsa masa depan dan mencapai setiap rute /webapi yang dilindungi, termasuk API kueri SQL Doris. CVE pendamping CVE-2026-111693 (juga CVSS 9.8) adalah login default admin/Databuff@123 yang di-hardcode.
Mengapa penting
Deployment observabilitas/APM AI yang meng-host sendiri DataBuff mengekspos kontrol tulis/baca penuh dari tumpukan pemantauan — termasuk API kueri SQL atas data telemetri — melalui dua jalur tanpa autentikasi sepele (rahasia penandatanganan yang diketahui dan kredensial default). Penyerang mendapatkan admin atas pemantauan beban kerja AI dan mesin kueri yang mendasarinya.
Vektor serangan
Tanpa autentikasi: penyerang menandatangani JWT peran admin dengan rahasia HMAC hardcoded dari JwtTokenService, atau mengirim POST admin/Databuff@123 default ke /webapi/api/v1/auth/login, lalu mengakses rute /webapi yang dilindungi termasuk API kueri SQL Doris.
Sistem yang terdampak
DataBuff ai-apm-web ≤ 0.1.10 (databufflabs/databuff)
Mitigasi
Tingkatkan versi melewati 0.1.10; ganti dev-secret default dengan rahasia kuat acak, nonaktifkan/ubah akun admin bawaan, dan rotasi kredensial pada deployment yang terekspos. Lihat advisory VulnCheck.