CVE-2026-44523: Note Mark: Segredo JWT Fraco Permite Falsificação de Token e Tomada de Conta
O Note Mark, aplicação de anotações de código aberto, não exige tamanho mínimo nem entropia para o JWT_SECRET antes da versão 0.19.4. Segundo o registro, um segredo de apenas 1 byte é aceito, o que pode permitir a falsificação de tokens e a tomada completa de contas. O registro indica correção na versão 0.19.4 e não lista a falha no CISA KEV.
Visão geral
O Note Mark é uma aplicação de anotações de código aberto. Segundo o registro, as versões anteriores a 0.19.4 não impõem tamanho mínimo nem entropia ao valor de configuração JWT_SECRET e aceitam qualquer valor decodificável em base64, mesmo com um único byte. A fraqueza é classificada como CWE-326 (Força de Criptografia Inadequada).
Impacto
O registro atribui nota 10 (crítica) pelo CVSS 3.1, com vetor de ataque pela rede, baixa complexidade, sem necessidade de privilégios ou interação do usuário, e alto impacto na confidencialidade e na integridade. O registro associa a falha à tomada completa de contas por meio da falsificação de tokens. Como a chave de assinatura é o segredo fraco, uma parte capaz de recuperá-lo ou adivinhá-lo poderia gerar tokens que a aplicação aceitaria. Essa ligação é uma inferência a partir do tipo de fraqueza e dos dados de pontuação.
Produtos e versões afetadas
- Enchant97 Note-mark, versões abaixo de 0.19.4, conforme o registro.
Status de exploração
A CVE não consta no catálogo Known Exploited Vulnerabilities da CISA no registro. Não há exploração confirmada na natureza nas fontes consultadas. O campo de exploração do SSVC está definido como poc, que o registro informa como nível de prova de conceito. O registro não traz detalhes de nenhuma prova de conceito pública. A probabilidade EPSS é 0,00163, com percentil de 0,05071.
Correção e mitigação
- Atualize o Note Mark para a versão 0.19.4 ou superior, conforme indicado no registro.
- Após a atualização, revise a configuração JWT_SECRET e substitua qualquer valor curto ou de baixa entropia por um segredo longo, gerado aleatoriamente e armazenado com segurança.
- Considere invalidar sessões ou tokens emitidos com o segredo fraco, pois podem ter sido forjados. Trata-se de recomendação, não de fato afirmado no registro.
- Restrinja quem pode ler ou alterar a configuração de implantação.
Orientações de detecção
- Verifique nas implantações se há valores de JWT_SECRET muito curtos ou de baixa entropia.
- Revise os logs de autenticação em busca de sessões que não correspondam a logins normais ou de atividade incomum nas contas.
- Confirme a versão do Note Mark em execução em todas as instâncias.
Limitações das informações disponíveis
A lista de correções do registro está vazia, portanto a versão corrigida é conhecida apenas pelo texto da descrição. O registro não traz prova de conceito, cronologia de exploração nem evidência de abuso. Detalhes do aviso além da URL de referência não estavam disponíveis para esta análise.
Perguntas frequentes
Qual versão corrige esta falha?
O registro informa que a falha está corrigida na versão 0.19.4. A atualização para essa versão ou superior é a correção recomendada.
Esta vulnerabilidade está sendo explorada na natureza?
A CVE não consta no catálogo KEV da CISA no registro, e não há exploração confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.