WeRSS /api/v1/wx/user 权限绕过漏洞（CVE-2026-2215）

rachelos WeRSS we-mp-rss 在 1.4.8 及之前版本中存在默认 JWT 密钥漏洞。问题位于 core/auth.py 文件中的 JWT 处理逻辑。当 SECRET_KEY 未被正确配置或被篡改时，系统会使用内置默认加密密钥对 JWT 进行签名与验证。攻击者若获知默认密钥，可能伪造合法的 JWT 令牌，从而绕过身份认证机制。该漏洞可远程触发，虽然利用复杂度较高，但公开利用方式已披露。