CVE-2026-120209

🔴 anji-plus AJ-Report: auth bypass to code execution via share tokens (CVE-2026-120209) Attackers can forge share tokens to skip login and run arbitrary code on the server. No patch listed yet https://cve.now/CVE-2026-120209?utm_source=x&utm_medium=social&utm_campaign=cvedotnow&utm_content=critical

🚨 CVE-2026-120209 (CVSS 9.8 Critical) - PoC Available Hardcoded JWT secret in AJ-Report (<= 1.7.1) lets attackers forge Share-Tokens to reach testTransform for GroovyClassLoader RCE. ⚡ Action: Restrict AJ-Report access and rotate JWT secret. 🔗 https://www.thehackerwire.com/vulnerability/CVE-2026-120209/ https://t.co/fw1f7sbmbV

VulnCheck reports AJ-Report <=1.7.1 (CVE-2026-120209) has a hard-coded JWT secret: forged share tokens can lead to unauthenticated RCE. Inventory deployments, restrict network access and check vendor guidance. #Cybersecurity #Infosec https://www.vulncheck.com/advisories/aj-report-through-1.7.1-authentication-bypass-leading-to-rce-via-share-token

🚨Critical - AJ-Report Unauth RCE via Forged Share-Token + GroovyClassLoader (CVE-2026-120209) AJ-Report uses a hard-coded JWT secret to sign Share-Tokens, letting attackers forge valid tokens offline. A minted token with reportCode='dataSet' can hit the testTransform endpoint, which feeds attacker-controlled scripts into GroovyClassLoader for unauthenticated RCE. 👉Affected: AJ-Report <= 1.7.1

#NØØT_Security_Alerts 🚨 #ALERT — AJ-Report Hard-Coded JWT Secret Enables Unauthenticated Code Execution October 30, 2026 (researcher disclosure); October 31 (CVE publication) PRODUCT: AJ-Report | CVE-2026-120209. AFFECTED: Researcher identifies versions 1.4.2–1.7.1; successful laboratory reproduction on 1.7.1. The published CVE describes versions through 1.7.1. IMPACT: A hard-coded JWT signing secret permits forged Share-Tokens. An insufficient URL authorization check can expose /dataSet/testTransform, which executes attacker-supplied Groovy code with application-process privileges. EXPLOITATION STATUS: Researcher reports successful unauthenticated command execution in a controlled test, including output-file evidence and negative controls. No confirmed malicious exploitation in the wild. FIX: No vendor-confirmed patched release established as of November 1. TRIAGE: Inspect access to /dataSet/testTransform, abnormal Share-Token use, unexpected Groovy execution, application-created files and suspicious outbound connections. URGENT ACTION: Restrict AJ-Report to trusted networks, block unauthorized access to the transformation endpoint and disable exposed scripting functionality where feasible. Preserve evidence, assess possible compromise and await a validated vendor fix. Token rotation alone is insufficient while the hard-coded secret remains. SOURCE: https://gitee.com/belief-team/report/issues/IKRV6T SOURCE CODE: https://gitee.com/belief-team/report/blob/V1.7.1/report-core/src/main/java/com/anjiplus/template/gaea/business/util/JwtUtil.java CONFIDENCE: HIGH for source-code evidence and the documented laboratory reproduction; independent reproduction and real-world attacks are unconfirmed. #CyberSecurity #InfoSec #CVE #AppSec #ThreatIntel

【11/1 朝】CVE・脆弱性ニュースまとめ ■国内 前回（10/31 本日のまとめ）以降、国内ベンダー製品やJVN・IPA・JPCERT/CCの注意喚起で、新たに対象となるものはありませんでした。 ■海外 ① Microsoft「Visual Studio」：認証局eMudhraの証明書流出に関連し、通信の相手になりすまされるおそれ（CVE-2026-118147、CVSS v3.1 7.4） Visual Studioが証明書を正しく検証しないため、ネットワーク上の攻撃者が通信の相手になりすませるおそれがある脆弱性で、日本時間1日未明にhttp://cve.orgへ登録されました。Microsoftは、中間証明書の秘密鍵が流出したインドの認証局eMudhraの問題への対応として、10月30日にVisual Studioの修正を出したと説明しています。影響はVisual Studio 2017（15.9.84より前）、2019（16.11.62より前）、2022（17.14.44より前）、2026（18.11.3より前）で、それぞれのバージョン以降に更新すれば修正されます。Windows本体の10月26日の臨時更新とは別に、Visual Studioも個別に更新が必要です。現時点で、この脆弱性の悪用は報告されていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-118147 出典：Microsoft https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118147 出典：Microsoft https://www.microsoft.com/en-us/msrc/blog/2026/10/patch-now-php2shell-brotli-emudhra-guidance-for-customers ② Apache「Apache MINA 3.0（Java向けネットワーク通信フレームワーク）」：受け取ったデータを安全でない方法で復元し、リモートからコードを実行されうる脆弱性（CVE-2026-118636、CVSS v3.1 9.8） Javaのネットワークアプリケーションでよく使われるApache MINAのうち、開発途中の3.0系の部品JavaNativeMessageDecoderが、受け取ったデータを中身の確認なしにJavaオブジェクトへ復元（デシリアライズ）してしまう脆弱性です。この部品を信頼できない相手との通信に使っているアプリでは、細工したデータを送られるとリモートからコードを実行されるおそれがあります。影響は3.0.0〜3.0.0-M2で、3.0系はすでに開発が止まっているため修正版は出ず、Apacheは2.2系の最新版を使うよう呼びかけています。広く使われている2.x系は今回の対象に含まれていません。現時点で悪用の報告は確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-118636 出典：Apache Software Foundation https://lists.apache.org/thread.html/h76nwcrkvsffhsk2kq6cjzc6srtnty7x ③ dromara「Jpom（サーバー運用・デプロイ管理ツール）」：ログイン不要で最高管理者になり、コマンドを実行されうる認証回避（CVE-2026-120201、CVSS 9.8） 中国発のオープンソースの運用管理ツールJpomで、API認証用のヘッダー「JPOM-USER-TOKEN」に送られた値が、そのまま検索条件として解釈されてしまう脆弱性です。ログインしていない攻撃者が「is not null」のような値を送るだけで最高管理者の権限を得て、Jpomのスクリプト機能からサーバー上でコマンドを実行できるおそれがあります。影響は2.10.0〜2.11.12で、2.11.12が現時点の最新版のため修正版はまだ出ていません。報告したリサーチャーによると開発元のリポジトリは2月以降更新が止まっており、インターネットから管理画面に届かないようにするのが当面の対策になります。現時点で悪用の報告は確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120201 出典：Jpom（GitHub） https://github.com/dromara/Jpom/issues/121 出典：VulnCheck https://www.vulncheck.com/advisories/jpom-2.10.0-through-2.11.12-authentication-bypass-via-jpom-user-token-header ④ anji-plus「AJ-Report（データ可視化・帳票ツール）」：埋め込みの固定鍵で共有トークンを偽造され、ログイン不要でコードを実行されうる脆弱性（CVE-2026-120209、CVSS 9.8） 中国発のオープンソースのBI・帳票ツールAJ-Reportで、レポート共有用のトークン（JWT）の署名にプログラムに埋め込まれた固定の鍵が使われているため、攻撃者が有効なトークンを手元で作れてしまいます。そのトークンを使うと、本来は認証が必要なデータ変換の試験機能に届き、送り込んだGroovyスクリプトがサーバー上で実行されるおそれがあります。影響は1.7.1以前で、修正版は確認できていません。公開サーバーで使っている場合は、外部からのアクセスを制限してください。現時点で悪用の報告は確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120209 出典：VulnCheck https://www.vulncheck.com/advisories/aj-report-through-1.7.1-authentication-bypass-leading-to-rce-via-share-token ■注意点 ・米CISAのKEVは1日朝の時点でも、30日のIvanti Connect Secure 2件以降の追加がありません。Ivanti Connect Secure（CVE-2026-111357）の米連邦機関向け対応期限は11月2日（米国時間）です。 ・Linuxカーネル（CVE-2026-98432）は1日朝の時点でも、Ubuntuの主要リリースが修正版「作業中」のままです。 #脆弱性 #CVE #サイバーセキュリティ