Kritische Schwachstelle in clawvet API Server: Datenlecks durch festen JWT-Schlüssel (CVE-2026-62241)

Was ist passiert?

Eine kritische Schwachstelle (CVE-2026-62241) wurde im clawvet self-hosted API Server (Versionen vor 0.7.5) entdeckt. Der Server nutzt einen fest hinterlegten JWT-Schlüssel, der standardmässig ausgeliefert wird. Dies ermöglicht Angreifern, gültige Sitzungscookies zu fälschen.

Wer ist betroffen?

Betroffen sind Unternehmen, die den clawvet self-hosted API Server in Versionen vor 0.7.5 einsetzen. Ein Angreifer kann ohne Authentifizierung Nutzer-IDs auslesen. Mit dem bekannten Schlüssel lassen sich dann gültige Sitzungen fälschen, um E-Mail-Adressen, Abonnementpläne und geheime API-Schlüssel von Nutzern zu erlangen. Das separate clawvet npm Paket (CLI) ist von dieser Schwachstelle nicht betroffen.

Wie kritisch ist es?

Die Schwachstelle wird mit einem CVSS-Score von 9.1 als 'kritisch' eingestuft, was auf ein hohes Risiko hinweist. Die Wahrscheinlichkeit einer Ausnutzung innerhalb der nächsten 30 Tage liegt laut EPSS bei 7 %. Dies ist ein moderater Wert, der jedoch nicht ignoriert werden sollte. Derzeit ist die Schwachstelle nicht im CISA KEV-Katalog der aktiv ausgenutzten Schwachstellen gelistet, was bedeutet, dass keine aktive Ausnutzung bekannt ist.

Was ist jetzt zu tun?

Prüfen Sie umgehend, ob Sie den clawvet self-hosted API Server in einer betroffenen Version (vor 0.7.5) einsetzen. Falls ja, aktualisieren Sie Ihre Installation schnellstmöglich auf Version 0.7.5 oder höher. Stellen Sie sicher, dass der JWT-Schlüssel in Ihrer Konfiguration nicht der Standardwert ist und ändern Sie ihn bei Bedarf. Überprüfen Sie nach dem Update, ob es Anzeichen für eine Kompromittierung gab.

Quellen: NVD (CVE-2026-62241), CISA KEV, FIRST EPSS. Automatisch erstellt, redaktionell geprüft.