Xerj 控制台 API 中存在身份验证绕过漏洞。该缺陷允许使用现有的有效令牌创建独立的后续凭证，从而绕过令牌颁发过程中的强制通行密钥要求。Xerj 系统将不同类型的会话转换为通用认证对象，而令牌创建处理器未验证会话是否由通行密钥支持。攻击者可通过获取有效的 API 令牌利用此漏洞，随后直接调用令牌创建端点，从而创建具有相同访问级别的新的凭证。由于 Xerj 缺乏分层撤销机制，父令牌的撤销不会影响其子令牌。这使得攻击者能够绕过多因素控制，获得持久且未经授权的访问权限。如果账户持有人的令牌遭到泄露，其后续令牌仍保留管理权限。攻击者可利用此机制创建并控制一个独立的通行密钥，以实现对实例的永久控制。目前尚无官方补丁，因无法联系到供应商。用户应监控 GitHub 仓库以获取更新，并在补丁发布后安装修复。