Открытое приложение Donetick для управления задачами и делами. До версии 0.1.44 приложение использует JSON Web Tokens (JWT) для аутентифика…

Открытое приложение Donetick для управления задачами и делами. До версии 0.1.44 приложение использует JSON Web Tokens (JWT) для аутентификации, но секретный ключ подписи имеет слабое значение по умолчанию. Хотя ответственность за изменение этого значения лежит на системном администраторе, такой подход является неадекватным. Существование проблемы в рабочей версии подтверждает её наличие. Эта проблема может привести к полному захвату аккаунта любого пользователя. Версия 0.1.44 содержит исправление [1]. Проблема связана со слабым значением секретного ключа JWT, что позволяет злоумышленникам создавать токены и захватывать учетные записи [2]. Источники: - [1] https://github.com/donetick/donetick/security/advisories/GHSA-hjjg-vw4j-986x - [2] https://github.com/donetick/donetick/commit/620b897bc0135f6668bb8a5562678104531108eb - [3] https://github.com/donetick/donetick/commit/b9a6e177eefdc605dedbc5320f0d93d6573d1db6