CVE-2025-30144
Təsvir
fast-jwt sürətli JSON Web Token (JWT) tətbiqi təmin edir. 5.0.6 versiyasından əvvəl fast-jwt kitabxanası RFC 7519-a əsasən iss iddialarını düzgün şəkildə yoxlamır. fast-jwt kitabxanasındakı iss (issuer) iddiasının yoxlanılması prosesi sətirlərdən ibarət massivi etibarlı iss dəyəri kimi qəbul edir. Bu dizayn qüsuru bədniyyətli şəxsə iss iddiası ['https://attacker-domain/', 'https://valid-iss'] strukturunda olan bir JWT hazırlamağa imkan verən potensial hücuma yol açır. Keçirimli yoxlama səbəbindən JWT etibarlı hesab olunacaqdır. Bundan əlavə, əgər tətbiq iss iddiasını müstəqil şəkildə yoxlamayan get-jwks kimi xarici kitabxanalardan istifadə edirsə, hücumçu bu zəiflikdən istifadə edərək qurban tətbiq tərəfindən qəbul ediləcək saxta JWT yarada bilər. Əslində, hücumçu qanuni emitentin yanına iss massivinə öz domenini daxil edərək nəzərdə tutulmuş təhlükəsizlik yoxlamalarından yan keçə bilər. Bu problem 5.0.6 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- fast-jwt5.0.6 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| fast-jwtnpm | v < 5.0.6 | 5.0.6 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.