CVE-2021-41106
Açıklama
JWT, JSON Web Token ve JSON Web Signature ile çalışmak için kullanılan bir kütüphanedir. 3.4.6, 4.0.4 ve 4.1.5 versiyonlarından öncekilerde, anahtar olarak `Lcobucci\JWT\Signer\Key\LocalFileReference` ile birlikte HMAC tabanlı algoritmaları (HS256, HS384 ve HS512) kullanan kullanıcıların tokenları, dosya içeriği yerine dosya yolu özetleme anahtarı olarak kullanılarak düzenlenmekte veya doğrulanmaktadır. HMAC özetleme fonksiyonları girdi olarak herhangi bir dizgeyi kabul ettiğinden ve kullanıcılar token düzenleyip doğrulayabildiğinden, her şeyin düzgün çalıştığına inanılmaktadır. 3.4.6, 4.0.4 ve 4.1.5 versiyonlarında, her zaman dosya içeriğinin yüklenmesi sağlanarak yama uygulanmış, `Lcobucci\JWT\Signer\Key\LocalFileReference` kullanımı kullanımdan kaldırılmış ve alternatif olarak `Lcobucci\JWT\Signer\Key\InMemory` önerilmiştir. Geçici bir çözüm olarak, anahtar örneklerini oluşturmak için `Lcobucci\JWT\Signer\Key\LocalFileReference` yerine `Lcobucci\JWT\Signer\Key\InMemory` kullanın.
Nasıl düzeltilir
- lcobucci jwt3.4.6, 4.0.4, 4.1.5 ya da sonraki bir sürüm
- lcobucci/jwt3.4.6, 4.0.4, 4.1.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| lcobucci jwt | 3.4.0 ≤ v < 3.4.6, 4.0.0 ≤ v < 4.0.4, 4.1.0 ≤ v < 4.1.5 | 3.4.6, 4.0.4, 4.1.5 |
| lcobucci/jwtPackagist | 3.4.0 ≤ v < 3.4.6, 4.0.0 ≤ v < 4.0.4, 4.1.0 ≤ v < 4.1.5 | 3.4.6, 4.0.4, 4.1.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.