CVE-2022-23539

Versões do jsonwebtoken <=8.5.1

A biblioteca jsonwebtoken pode estar mal configurada para usar tipos de chave legados e inseguros na verificação de assinaturas. Por exemplo, chaves DSA podem ser usadas com o algoritmo RS256. Os usuários são afetados se utilizarem uma combinação de algoritmo e tipo de chave diferente daquelas listadas como não afetadas. O problema foi corrigido na versão 9.0.0, que valida combinações de tipos de chave assimétrica e algoritmos.

Atualize para a versão 9.0.0 para corrigir o problema. Após a atualização, se você ainda pretender usar combinações inválidas de tipo de chave/algoritmo, defina a opção allowInvalidAsymmetricKeyTypes como true nas funções sign() e/ou verify().