注目★★★★★GitHub Advisory
Go Restful APIボイラープレートにJWTシークレットのハードコード脆弱性（CVE-2026-48031）
30秒で把握
- 1go-baseのJWTシークレットが"random"にハードコード・トークン偽造が可能
- 2dev.envとコードの2箇所に既定値が存在・緩和チェックも不完全
- 3HS256署名を悪用した認証バイパスのリスク・秘密鍵の即時差し替えが必要
要約
Go REST APIボイラープレート「go-base」（GitHub星1,685）に、JWTシークレットが"random"にハードコードされる脆弱性CVE-2026-48031が公開された。`dev.env`とコードレベルのフォールバック2箇所に同一のデフォルト値が存在し、テンプレートをそのまま利用した開発者はトークン偽造の危険にさらされる。既存の緩和策はリテラル"random"のみをチェックするだけで不完全であり、攻撃者はHS256署名済みトークンを任意に作成して認証を突破できる。
あなたへの影響
go-baseをベースに開発・デプロイしているチームは、`AUTH_JWT_SECRET`が"random"または未設定のままでないか環境変数と`dev.env`を即時確認し、十分なランダム性を持つ秘密鍵に差し替えた上で既発行トークンを無効化すること。
推奨：ボイラープレートをそのままステージング・本番に流用している場合、攻撃者が任意の認証トークンを偽造できる状態になり得る。