Xerj Console API に認証バイパスの脆弱性が存在します。この欠陥により、既存の有効なトークンが独立した後継クレデンシャルを作成できるようになります。トークン発行中に必須のパスキー要件をバイパスします。Xerj システムは、異なるセッションタイプを汎用的な認証オブジェクトに変換します。トークン作成ハンドラは、セッションがパスキーでバックアップされていたかどうかを確認しません。攻撃者は、有効な API トークンを取得することでこれを悪用できます。その後、トークン作成エンドポイントを直接呼び出すことができます。これにより、同じアクセスレベルを持つ新しいクレデンシャルを作成できます。Xerj は階層的な失効機能を欠いているため、親トークンの失効は子トークンに影響しません。これにより、攻撃者は多要素制御をバイパスして、永続的な不正アクセスが可能になります。アカウント所有者のトークンが侵害された場合、後継トークンは管理者権限を保持します。攻撃者はこれを使用して、永続的なインスタンス制御のための独立したパスキーを作成および制御できます。ベンダーに連絡できなかったため、公式パッチは利用できません。ユーザーは GitHub リポジトリを監視して更新を確認し、修正がリリースされたらインストールする必要があります。