CVE-2022-3102

OSV (versões afetadas não especificadas)

O problema diz respeito à capacidade do código JWT de detectar automaticamente os tipos de token, o que pode levar a conclusões incorretas sobre a confiabilidade do token. Em determinadas circunstâncias, um invasor pode substituir um JWS assinado por um JWE criptografado com a chave pública usada para a validação da assinatura. Esse ataque de substituição requer que o aplicativo de validação tenha acesso à chave privada usada para assinar tokens. A gravidade do ataque depende do uso do token, podendo levar à burla da autenticação ou autorização, já que o invasor pode injetar valores de reivindicação desejados. Vários fatores atenuantes podem proteger os aplicativos, incluindo a indisponibilidade da chave privada, parâmetros JWK específicos e verificações do tipo de token antes da validação.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.