PT-2026-132399
CVE-2026-62374
·
تاريخ النشر
2026-10-29
·
تاريخ التحديث
2026-10-30
الوصف من
CVSS 4.0
7.1
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
@sd-jwt/core الإصدارات السابقة لـ 0.20.0
@sd-jwt/decode الإصدارات السابقة لـ 0.20.0
Description
في مكون
@sd-jwt/decode المستخدم أيضًا بواسطة @sd-jwt/core يتم إسقاط الإفصاحات (Disclosures) التي تم التلاعب بها بصمت إذا كان الملخص الخاص بها لا يتطابق مع مصفوفة sd الموقعة من قبل المصدر. وبدلاً من رفض المدخلات، يقوم النظام بإرجاع مجموعة مطالبات مخفضة ويبلغ عن النجاح طالما ظل توقيع المصدر صالحًا. يحدث هذا السلوك عندما يتم التلاعب بالإفصاح مع بقائه بتنسيق JSON صالح أو عندما يحتوي على بايتات UTF-8 غير صالحة. في حالة UTF-8 غير الصالحة، يقوم مسار فك التشفير TextDecoder / Buffer باستبدال الأحرف بـ U+FFFD مما يؤدي إلى بيانات صالحة من الناحية النحوية. يسمح هذا لحامل خبيث باستغلال بدائية الحذف عبر SDJwtInstance.verify() عند طلب ربط المفتاح، أو يسمح لمهاجم موجود على المسار بالتلاعب بالإفصاحات عندما لا يتم فرض ربط المفتاح. إذا كان الطرف المعتمد يسمح بالوصول عند غياب مطالبات القيود أو الدور أو العمر، فإن هذا الاختزال الصامت يمكن أن يغير قرار التفويض دون حدوث خطأ.Recommendations
تحديث @sd-jwt/core إلى الإصدار 0.20.0.
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة في حزمة @sd-jwt/decode المستقلة.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾