Julienwoll

A biblioteca jsonwebtoken pode estar mal configurada para usar tipos de chave legados e inseguros na verificação de assinaturas. Por exemplo, chaves DSA podem ser usadas com o algoritmo RS256. Os usuários são afetados se utilizarem uma combinação de algoritmo e tipo de chave diferente daquelas listadas como não afetadas. O problema foi corrigido na versão 9.0.0, que valida combinações de tipos de chave assimétrica e algoritmos.

O problema decorre da falta de definição de algoritmo na função `jwt.verify()`, levando a uma omissão na validação da assinatura devido ao uso padrão do algoritmo `none` para verificação de assinatura. Isso ocorre quando nenhum algoritmo é especificado na função `jwt.verify()` e um segredo ou chave inválida é utilizada. Os usuários são afetados se receberem um token sem assinatura, não especificarem algoritmos e passarem um segredo ou chave inválida.

A biblioteca jsonwebtoken pode ser configurada incorretamente, levando a uma verificação incorreta dos tokens. Isso ocorre quando é utilizada uma função de recuperação de chave mal implementada, referindo-se ao argumento `secretOrPublicKey`. Como resultado, tokens assinados com uma chave pública assimétrica poderiam ser verificados com um algoritmo simétrico HS256, permitindo a validação bem-sucedida de tokens falsificados. Esta falha afeta aplicativos que suportam chaves simétricas e assimétricas na implementação de jwt.verify() com a mesma função de recuperação de chave.