CVE-2026-45363

ruby-jwt (لم يتم تحديد الإصدارات المتأثرة)

يسمح عيب في إجراء المصادقة للمكتبة بقبول الرموز المزورة عند استخدام سلسلة فارغة كمفتاح التحقق. ويحدث ذلك لأن خوارزمية HMAC تفتقر إلى شرط مسبق لرفض المفاتيح الفارغة، كما أن OpenSSL::HMAC.digest تُرجع ملخصًا صالحًا في ظل هذه الظروف. تؤثر هذه المشكلة على خوارزميات HS256 وHS384 وHS512 عبر JWT.decode (باستخدام كل من المفاتيح الموضعية وأدوات البحث عن المفاتيح الكتلية) ووظيفة verify signature!. يمكن أن يحدث هذا عندما تُرجع كتل أو معلمات أدوات البحث عن المفاتيح سلسلة فارغة، أو عندما تستخدم التطبيقات أنماطًا تؤدي إلى سلسلة فارغة، مثل ENV[’SECRET‘] || ’‘ أو أعمدة ORM ذات قيم افتراضية عبارة عن سلسلة فارغة. قد يؤدي استغلال هذه المشكلة إلى حدوث هجوم رفض الخدمة.

قم بتمكين الخيار enforce hmac key length لمنع استخدام المفاتيح الفارغة.

تجنب استخدام سلاسل فارغة كمفاتيح في JWT.decode() أو داخل كتل keyfinder.

تأكد من أن كتل keyfinder تُرجع nil أو تُثير خطأً بدلاً من إرجاع سلسلة فارغة عند عدم العثور على مفتاح.