PT-2020-7931 · Jws · Jws

Publicado 2020-09-01 · Atualizado 2026-06-04 · CVE-2016-1000223

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.7

Alta

Vetor base

AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:N

**Nome do software vulnerável e versões afetadas:

Versões do jws anteriores à 3.0.0

Descrição:

A vulnerabilidade permite que um agente mal-intencionado modifique o conteúdo de um JWT sem que a verificação seja reprovada, o que pode levar a uma contornamento completo da autenticação. Isso pode ser feito explorando o comportamento do pacote jws, que permite aos usuários selecionar o algoritmo para verificar um JWT fornecido.

Recomendações:

Atualize para a versão 3.0.0 ou posterior.

Correção

Identificadores relacionados

CVE-2016-1000223

GHSA-GJCW-V447-2W7Q

Produtos afetados

Jws

Referências · 8

• https://github.com/brianloveswords/node-jws/commit/585d0e1e97b6747c10cf5b7689ccc5618a89b299#diff-4ac32a78649ca5bdd8e0ba38b7006a1e · Nota
• https://github.com/brianloveswords/node-jws · Nota
• https://npmjs.com/advisories/88 · Nota
• https://auth0.com/blog/2015/03/31/critical-vulnerabilities-in-json-web-token-libraries · Nota
• https://osv.dev/vulnerability/GHSA-gjcw-v447-2w7q · Aviso do Fabricante
• https://osv.dev/vulnerability/ROOT-APP-NPM-CVE-2016-1000223 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2016-1000223 · Nota de Segurança
• https://snyk.io/vuln/npm:jws:20160726 · Nota