json-jwt allows bypass of identity checks via a sign/encryption confusion attack

高 8.4CVE-2023-51774 · GHSA-c8v6-786g-vjx6 · 29/02/2024 公開 · 17/06/2026 更新

要点

CVE-2023-51774 は json-jwt, json-jwt (json-jwt project) に影響する深刻度「高」 (CVSS 8.4) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.23%（全脆弱性の 14.0% より高い）。
対処：1.16.6, 1.15.3.1 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
json-jwt RubyGems	`≥ 1.16.0, < 1.16.6< 1.15.3.1`	`1.16.61.15.3.1`
json-jwt json-jwt_project	`= 1.16.3`	修正版なし

概要

The json-jwt (aka JSON::JWT) gem 1.16.x before 1.16.6, 1.15.x before 1.15.3.1 for Ruby sometimes allows bypass of identity checks via a sign/encryption confusion attack. For example, JWE can sometimes be used to bypass JSON::JWT.decode.

NVD の説明

The json-jwt (aka JSON::JWT) gem 1.16.3 for Ruby sometimes allows bypass of identity checks via a sign/encryption confusion attack. For example, JWE can sometimes be used to bypass JSON::JWT.decode.

参考情報

nvd.nist.gov/vuln/detail/CVE-2023-51774 · ADVISORY
nov/json-jwt · WEB
nov/json-jwt · WEB
nov/json-jwt commit 593ea8b · WEB
nov/json-jwt commit 9c4d842 · WEB
P3ngu1nW/CVE_Request · WEB
nov/json-jwt · PACKAGE
rubysec/ruby-advisory-db · WEB

json-jwt のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

json-jwt

RubyGems

≥ 1.16.0, < 1.16.6< 1.15.3.1

1.16.61.15.3.1

json-jwt

json-jwt_project

= 1.16.3

修正版なし

概要

NVD の説明

The json-jwt (aka JSON::JWT) gem 1.16.3 for Ruby sometimes allows bypass of identity checks via a sign/encryption confusion attack. For example, JWE can sometimes be used to bypass JSON::JWT.decode.

json-jwt のその他の脆弱性

すべて見る →