Jervis Has a JWT Algorithm Confusion Vulnerability

TRUNG BÌNH 5.3CVE-2025-68925 · GHSA-5pq9-5mpr-jj85 · Công bố 13/01/2026 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2025-68925 là lỗ hổng mức TRUNG BÌNH (CVSS 5.3) ảnh hưởng net.gleske:jervis, jervis (samrocketman).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.15%, cao hơn 4.5% các lỗ hổng khác.
Cách xử lý: cập nhật lên 2.2 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
net.gleske:jervis Maven	`< 2.2`	`2.2`
jervis samrocketman	`< 2.2`	`2.2`

Mô tả

Vulnerability

https://github.com/samrocketman/jervis/blob/157d2b63ffa5c4bb1d8ee2254950fd2231de2b05/src/main/groovy/net/gleske/jervis/tools/SecurityIO.groovy#L244-L249

The code doesn't validate that the JWT header specifies "alg":"RS256".

Impact

Depending on the broader system, this could allow JWT forgery.

Internally this severity is low since JWT is only intended to interface with GitHub. External users should consider severity moderate.

Patches

Jervis patch will explicitly verify the algorithm in the header matches expectations and further verify the JWT structure.

Upgrade to Jervis 2.2.

Workarounds

External users should consider using an alternate JWT library or upgrade.

References

RFC 7518: JSON Web Algorithms

Mô tả của NVD

Jervis is a library for Job DSL plugin scripts and shared Jenkins pipeline libraries. Prior to 2.2, the code doesn't validate that the JWT header specifies "alg":"RS256". This vulnerability is fixed in 2.2.