CVE-2026-34240
Açıklama
JOSE, bir Javascript Object Signing and Encryption (JOSE) kütüphanesidir. 0.3.5+1 versiyonundan önce, jose içerisindeki bir güvenlik açığı, kimliği doğrulanmamış uzak bir saldırganın JOSE başlığında gömülü bir anahtar (jwk) kullanarak geçerli JWS/JWT belirteçleri oluşturmasına izin verebilir. Bu açık, anahtar seçiminin, söz konusu anahtar güvenilir anahtar deposunda mevcut olmasa bile başlıkta sağlanan jwk değerini bir doğrulama adayı olarak kabul edebilmesinden kaynaklanmaktadır. JOSE başlıkları güvenilmeyen girdiler olduğundan, bir saldırgan bir belirteç yükü oluşturup başlığa kendi kontrolündeki genel anahtarı ekleyerek ve eşleşen özel anahtar ile imzalayarak bu durumu istismar edebilir. Belirteç doğrulaması için etkilenen versiyonları kullanan uygulamalar risk altındadır. Bu sorun 0.3.5+1 versiyonunda düzeltilmiştir. Bu sorun için geçici çözüm, başlıkta jwk bulunduğu durumlarda, bu jwk uygulamanın güvenilir anahtar deposundaki mevcut bir anahtarla eşleşmediği sürece belirtecin reddedilmesini içerir.
Nasıl düzeltilir
- appsup-dart jose0.3.5\+1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| appsup-dart jose | v < 0.3.5\+1 | 0.3.5\+1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.