CVE-2024-31033

JJWT (também conhecido como Java JWT) até a versão 0.12.5

O problema diz respeito ao JJWT ignorar certos caracteres, o que pode levar um usuário a concluir erroneamente que possui uma chave forte. O código afetado inclui o método setSigningKey() na classe DefaultJwtParser e o método signWith() na classe DefaultJwtBuilder. No entanto, o fornecedor contesta essa questão, afirmando que ela não pode ocorrer sem um erro do usuário e que a versão testada deve estar desatualizada.

Para o JJWT até a versão 0.12.5, considere revisar o uso dos métodos setSigningKey() e signWith() para garantir a implementação correta e a avaliação da força da chave.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.