何が起きたか
CVE-2026-111692（CVSS 9.8、CWE-321）はNVD REST API経由で検証済み（2026年10月16日にVulnCheckが公開）: JWT署名HMACシークレットがJwtTokenService/設定でデフォルトの開発用シークレットにハードコードされているため、認証なしの攻撃者は将来の有効期限を持つ管理者トークンを偽造し、Doris SQLクエリAPIを含むすべての保護された/webapiルートに到達できます。関連するCVE-2026-111693（これもCVSS 9.8）は、ハードコードされたデフォルトのadmin/Databuff@123ログインです。
なぜ重要か
DataBuffをセルフホストするAI可観測性/APMデプロイメントは、2つの自明な認証なしパス（既知の署名シークレットとデフォルト資格情報）を介して、モニタリングスタックの完全な書き込み/読み取り制御（テレメトリデータに対するSQLクエリAPIを含む）を公開します。攻撃者はAIワークロードモニタリングと基盤となるクエリエンジンに対する管理者権限を取得します。
攻撃経路
認証なし: 攻撃者はJwtTokenServiceのハードコードされたHMACシークレットで管理者ロールのJWTに署名するか、デフォルトのadmin/Databuff@123を/webapi/api/v1/auth/loginにPOSTし、Doris SQLクエリAPIを含む保護された/webapiルートにアクセスします。
影響を受けるシステム
DataBuff ai-apm-web ≤ 0.1.10（databufflabs/databuff）
緩和策
0.1.10以降にアップグレード。デフォルトの開発用シークレットをランダムな強力なシークレットに置き換え、組み込みの管理者アカウントを無効化/変更し、公開されたデプロイメントで資格情報をローテーション。VulnCheckアドバイザリを参照。