CVE-2025-59936

إصدارات get-jwks الأقدم من 11.0.2

يوجد عيب في مكتبة get-jwks يتعلق بآلية الحصول على مفاتيح JWKS. عند التحقق من صحة بيان المُصدر (iss) بعد استرداد المفاتيح من ذاكرة التخزين المؤقت، يمكن إعادة استخدام المفاتيح المخزنة في ذاكرة التخزين المؤقت الخاصة بمصدر غير متوقع، مما يؤدي إلى تجاوز عملية التحقق من صحة المُصدر. وهذا يسمح لمهاجم خبيث بإنشاء توقيعات JWT، حيث يضمن أولاً وجود مفتاح عام محدد في ذاكرة التخزين المؤقت، ثم يستخدم هذا المفتاح المخزّن في ذاكرة التخزين المؤقت لاجتياز عملية التحقق من التوقيع لمصدر مستهدف. تحدث هذه الثغرة الأمنية عندما يتم إجراء التحقق من المصدر بعد استخدام get-jwks لاسترداد المفاتيح، وهو إعداد شائع. تتعلق المشكلة بإنشاء مفاتيح التخزين المؤقت، مما قد يؤدي إلى حدوث تضارب في المفاتيح ويسمح للمهاجمين بالتحكم في المفتاح المستخدم للتحقق من التوقيع.

قم بالتحديث إلى الإصدار 11.0.2 أو أحدث من get-jwks.