CVE-2020-26160
Yüksək
Təsvir
4.0.0-preview1 versiyasından əvvəlki jwt-go, m["aud"] üçün []string{} istifadə olunan hallarda (hansı ki, spesifikasiya tərəfindən icazə verilir) hücumçulara nəzərdə tutulmuş giriş məhdudiyyətlərini yan keçməyə imkan verir. Tip təyini (type assertion) uğursuz olduğu üçün aud dəyəri "" olur. Əgər JWT tokeni öz auditoriya yoxlaması olmayan bir xidmətə təqdim edilirsə, bu, təhlükəsizlik problemi yaradır.
CiddilikYüksək
CVSS7.5
İstismar ehtimalı—
MəhsulJwt-go
Dərc30 sen 2020
İlk görülmə30 sen 2020
Necə düzəltmək olar
Yeniləyin
- github.com/dgrijalva/jwt-go/v44.0.0-preview1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| jwt-go_project jwt-go | v ≤ 3.2.0 | — |
| github.com/dgrijalva/jwt-goGo | 0.0.0-20150717181359-44718f8a89b0 ≤ v ≤ 3.2.0, 0.0.0-20150717181359-44718f8a89b0 ≤ v | — |
| github.com/dgrijalva/jwt-go/v4Go | v < 4.0.0-preview1 | 4.0.0-preview1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Intelligence 360 paketində
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.