CVE-2023-40171

Dispatch es una herramienta de gestión de incidentes de seguridad de código abierto. La respuesta del servidor incluye la clave secreta JWT utilizada para firmar tokens JWT en el mensaje de error cuando el plugin `Dispatch Plugin - Basic Authentication Provider` encuentra un error al intentar decodificar un token JWT. Cualquier usuario de Dispatch que posea su propia instancia y confíe en el plugin `Dispatch Plugin - Basic Authentication Provider` para la autenticación puede verse afectado, permitiendo que cualquier cuenta sea tomada dentro de su propia instancia. Esto podría hacerse utilizando el secreto para firmar JWTs manipulados por atacantes. Si cree que puede verse afectado, le recomendamos encarecidamente que rote el secreto almacenado en la envvar `DISPATCH_JWT_SECRET` del archivo `.env`. Este problema se ha solucionado en el commit `b1942a4319` que se ha incluido en la versión `20230817`. Se recomienda a los usuarios que actualicen. No se conocen soluciones para esta vulnerabilidad.