CVE-2026-45363

ruby-jwt, RFC 7519 OAuth JSON Web Token standardının bir Ruby uygulamasıdır. 2.10.3 ve 3.2.0 sürümlerinden önce, OpenSSL::HMAC.digest('SHA256', '', payload) boş bir anahtar altında geçerli bir özet döndürdüğü ve HMAC algoritmasında herhangi bir boş anahtar ön koşulu bulunmadığı için JWT.decode(token, '', true, algorithm: 'HS256') saldırgan tarafından sahte olarak oluşturulmuş bir token'ı kabul eder. Bir keyfinder bloğunun veya key_finder: argümanının bilinmeyen bir anahtar için boş bir dize, nil veya nil içeren bir dizi döndürmesi durumunda da aynı yola ulaşılır; bu durum JWT.decode ve JWT::EncodedToken#verify_signature! üzerinden HS256, HS384 ve HS512 doğrulamalarını etkiler. Bu sorun 2.10.3 ve 3.2.0 sürümlerinde düzeltilmiştir.