CVE-2022-23540

Versões do jsonwebtoken <=8.5.1

O problema decorre da falta de definição de algoritmo na função jwt.verify(), levando a uma omissão na validação da assinatura devido ao uso padrão do algoritmo none para verificação de assinatura. Isso ocorre quando nenhum algoritmo é especificado na função jwt.verify() e um segredo ou chave inválida é utilizada. Os usuários são afetados se receberem um token sem assinatura, não especificarem algoritmos e passarem um segredo ou chave inválida.

Para versões do jsonwebtoken <=8.5.1, atualize para a versão 9.0.0 para remover o suporte padrão ao algoritmo none no método jwt.verify(). Se o algoritmo none for necessário, especifique-o explicitamente nas opções de jwt.verify().