PT-2022-16062 · Unknown · Jsonwebtoken
Julienwoll
·
Publicado
2022-12-22
·
Atualizado
2026-06-04
·
CVE-2022-23541
CVSS v3.1
5.0
Média
| Vetor | AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:L |
Nome do software vulnerável e versões afetadas
Versões do jsonwebtoken <= 8.5.1
Descrição
A biblioteca jsonwebtoken pode ser configurada incorretamente, levando a uma verificação incorreta dos tokens. Isso ocorre quando é utilizada uma função de recuperação de chave mal implementada, referindo-se ao argumento
secretOrPublicKey. Como resultado, tokens assinados com uma chave pública assimétrica poderiam ser verificados com um algoritmo simétrico HS256, permitindo a validação bem-sucedida de tokens falsificados. Esta falha afeta aplicativos que suportam chaves simétricas e assimétricas na implementação de jwt.verify() com a mesma função de recuperação de chave.Recomendações
Atualize para a versão 9.0.0 para resolver a falha. Se você estiver usando atualmente uma versão do jsonwebtoken <= 8.5.1, a atualização para a versão 9.0.0 corrigirá o problema. Como solução alternativa temporária, considere revisar e corrigir sua função de recuperação de chave para garantir que ela lide adequadamente com chaves simétricas e assimétricas. Restrinja o acesso à função jwt.verify() para minimizar o risco de exploração até que a atualização seja aplicada.
Exploit
Correção
Improper Authentication
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Jsonwebtoken