CVE-2026-120209: RCE Critica in AJ-Report via Token JWT

Il CVE-2026-120209 riguarda AJ-Report fino alla versione 1.7.1 e descrive una vulnerabilità critica di esecuzione di codice remoto (RCE) non autenticata. La falla risiede nel meccanismo di firma dei token di condivisione (Share-Tokens) che utilizza un JWT secret hard-coded, permettendo agli attaccanti di generare token validi offline. Accedendo all'endpoint testTransform con un token contraffatto, gli aggressori possono inviare script al GroovyClassLoader per eseguire codice remoto senza autenticazione, compromettendo completamente la sicurezza della piattaforma.

Il CVSS assegnato è 9,8 (critico), indicando un impatto potenzialmente devastante su confidenzialità, integrità e disponibilità. La vulnerabilità è stata pubblicata dal NVD il 2026-10-31 ed è già oggetto di segnali pubblici: il 2026-11-06 è stata identificata la disponibilità di codice di exploit in repository pubblici su GitHub che dichiarano di contenere prove di concept per RCE e privilege escalation. Lo stato confermato dal mercato rende il rischio immediato e concreto per ogni organizzazione che gestisce istanze di AJ-Report.

Le organizzazioni che gestiscono istanze AJ-Report devono aggiornare immediatamente oltre la versione 1.7.1. Nel frattempo: verificare nei log gli accessi ai token di condivisione; limitare accesso a testTransform tramite firewall o WAF; revocare tutti i token generati prima della patch; monitorare caricamento di classi Groovy nelle applicazioni Java. La vulnerabilità è critica, sfruttabile da remoto senza credenziali, quindi remediation è urgente.