PT-2026-49727 · Perryts · Perry

Katriel Moses + 1 · Publicado 2026-06-16 · Atualizado 2026-06-17 · CVE-2026-53776

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Perry versões anteriores a 0.5.1166

Descrição Um problema no processo de validação de JWT permite que atacantes remotos ignorem a expiração do token. Isso ocorre porque o auxiliar verify decode dentro do caminho de verificação JWT da stdlib define incondicionalmente validate exp como false. Consequentemente, atacantes com um token de portador emitido anteriormente podem usar tokens expirados em qualquer chamada jwt.verify() para manter o acesso autenticado indefinidamente, ignorando mecanismos de expiração de sessão, como revogação administrativa ou logout do usuário.

Recomendações Atualize para a versão 0.5.1166 ou posterior.

Correção

Insufficient Session Expiration

Enumeração de Fraquezas

CWE-613

Identificadores relacionados

CVE-2026-53776

Produtos afetados

Perry

Referências · 7

• https://github.com/PerryTS/perry/releases/v0.5.1166 · Nota
• https://github.com/PerryTS/perry/security/advisories/GHSA-5324-c68v-8w62 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-53776 · Nota de Segurança
• https://twitter.com/OrizonCyber/status/2066936366328426748 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2066980897883365450 · Publicação no Twitter
• https://vulncheck.com/advisories/perry-jwt-expiration-bypass-via-verify-decode · Nota
• https://twitter.com/ThreatAft/status/2067089132069990872 · Publicação no Twitter