CVE-2025-30204
Açıklama
golang-jwt, JSON Web Token'ların bir Go uygulamasıdır. Versiyon 3.2.0 ile başlayıp 5.2.2 ve 4.5.2 versiyonlarından önceki sürümlerde, parse.ParseUnverified fonksiyonu argümanını (güvenilmeyen veri) noktalar üzerinden (strings.Split çağrısı aracılığıyla) böler. Sonuç olarak, Authorization başlığı Bearer ifadesinden sonra çok sayıda nokta karakteri içeren kötü niyetli bir istek durumunda, bu fonksiyona yapılan bir çağrı, yaklaşık 16 sabit çarpanı ile O(n) bayt düzeyinde (burada n, fonksiyonun argümanının uzunluğunu temsil eder) tahsisatlara yol açar. Bu sorun 5.2.2 ve 4.5.2 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- github.com/golang-jwt/jwt/v55.2.2 ya da sonraki bir sürüm
- github.com/golang-jwt/jwt/v44.5.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/golang-jwt/jwt/v5Go | 5.0.0-rc.1 ≤ v < 5.2.2 | 5.2.2 |
| github.com/golang-jwt/jwt/v4Go | v < 4.5.2 | 4.5.2 |
| github.com/golang-jwt/jwtGo | 3.2.0 ≤ v ≤ 3.2.2, Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.