CVE-2026-85295: Account takeover in Chartbrew via JWT

CVE-2026-85295 è una vulnerabilità di autenticazione in Chartbrew (open-source) che consente un account takeover completo senza credenziali. La falla risiede nel fallback dei JWT nei moduli verifyToken.js, verifyUser.js, getUserFromToken.js e socketManager.js. Un attaccante che conosce il valore della variabile CB_SECRET (spesso il valore di default in installazioni stock o Docker Compose) può forgiare un JWT con algoritmo HS256 che viene accettato come valido dal server, impersonando qualsiasi utente senza password o 2FA.

Il CVSS è 9,8 (critico). La vulnerabilità colpisce installazioni stock o repository Docker Compose che retengono un CB_SECRET noto, debole o di default; non riguarda container isolati dove CB_SECRET è indefinito. Il 6 novembre è stato pubblicato l'avviso ufficiale NVD, e il 7 novembre su X sono emersi segnali pubblici di discussione (3 post in 24 ore, 28 interazioni). Non è stato identificato exploit pubblico verificato su GitHub.

Azione immediata: aggiorna Chartbrew a versione 5.2.3 o superiore, dove il fallback dei JWT è stato eliminato. Se non puoi aggiornare subito, verifica il valore di CB_SECRET in tutte le installazioni Chartbrew: se è il valore noto di default, cambialo immediatamente con un valore casuale e sicuro. Monitora i log di accesso per token JWT insoliti o accessi da indirizzi IP inaspettati. Se usi Chartbrew in produzione con dati sensibili, considera questa una priorità critica.