Verification Bypass in jsonwebtoken

NGHIÊM TRỌNG 9.8CVE-2015-9235 · GHSA-c7hr-j4mj-j2w6 · Công bố 29/05/2018 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2015-9235 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.8) ảnh hưởng jsonwebtoken (auth0), jsonwebtoken.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 8.5%, cao hơn 95.0% các lỗ hổng khác.
Cách xử lý: cập nhật lên 4.2.2 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
jsonwebtoken auth0	`< 4.2.2`	`4.2.2`
jsonwebtoken npm	`< 4.2.2`	`4.2.2`

Mô tả

Versions 4.2.1 and earlier of jsonwebtoken are affected by a verification bypass vulnerability. This is a result of weak validation of the JWT algorithm type, occuring when an attacker is allowed to arbitrarily specify the JWT algorithm.

Recommendation

Update to version 4.2.2 or later.

Mô tả của NVD

In jsonwebtoken node module before 4.2.2 it is possible for an attacker to bypass verification when a token digitally signed with an asymmetric key (RS/ES family) of algorithms but instead the attacker send a token digitally signed with a symmetric algorithm (HS* family).