PT-2025-49117
CVE-2025-65945
·
تاريخ النشر
2025-12-04
·
تاريخ التحديث
2026-10-18
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
auth0/node-jws الإصدارات 3.2.2 وما قبلها
auth0/node-jws الإصدار 4.0.0
الوصف
auth0/node-jws هو تطبيق لتوقيع الويب JSON (JSON Web Signature) لـ Node.js. توجد ثغرة في عملية التحقق من التوقيع عند استخدام خوارزمية HS256 في ظل ظروف محددة. قد تكون التطبيقات التي تستخدم الدالة
jws.createVerify() لخوارزميات HMAC، وتدمج البيانات التي يقدمها المستخدم من رأس أو حمولة محمية بتوقيع الويب JSON في إجراءات البحث عن سر HMAC، عرضة لتجاوز عملية التحقق من التوقيع. تحدث هذه المشكلة عند استخدام username أو أي بيانات أخرى يتحكم فيها المستخدم بشكل مباشر أو غير مباشر في عملية إنشاء مفتاح HMAC.التوصيات
قم بالتحديث إلى الإصدار 3.2.3 أو أحدث من auth0/node-jws.
قم بالتحديث إلى الإصدار 4.0.1 أو أحدث من auth0/node-jws.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾