PT-2026-23074
CVE-2026-29000
·
تاريخ النشر
2026-03-04
·
تاريخ التحديث
2026-10-15
الوصف من
CVSS 3.1
10
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
pac4j-jwt الإصدارات الأقدم من 4.5.9
pac4j-jwt الإصدارات الأقدم من 5.7.9
pac4j-jwt الإصدارات الأقدم من 6.3.3
الوصف
يوجد ثغرة في مكون
JwtAuthenticator تسمح بتجاوز المصادقة عند معالجة رموز JSON Web Tokens (JWTs) المشفرة. يمكن للمهاجمين عن بُعد الذين يمتلكون المفتاح العام RSA الخاص بالخادم تزوير رموز المصادقة عن طريق إنشاء PlainJWT مغلف في JWE (رمز JWT غير موقّع) مع ادعاءات موضوع ووظيفة عشوائية. ونظرًا لأن المكتبة تعالج هذه الرموز بشكل غير صحيح، فإنها تتجاهل عملية التحقق من التوقيع، مما يسمح للمهاجم بالانتحال صفة أي مستخدم، بما في ذلك المسؤولين.التوصيات
قم بتحديث pac4j-jwt إلى الإصدار 4.5.9 أو أحدث.
قم بتحديث pac4j-jwt إلى الإصدار 5.7.9 أو أحدث.
قم بتحديث pac4j-jwt إلى الإصدار 6.3.3 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾