CVE-2026-62374

Nome do Software Vulnerável e Versões Afetadas @sd-jwt/core versões anteriores a 0.20.0 @sd-jwt/decode versões anteriores a 0.20.0

Description No componente @sd-jwt/decode, também utilizado pelo @sd-jwt/core, o sistema descarta silenciosamente Disclosures adulterados se o seu digest não corresponder ao array sd assinado pelo Emissor. Em vez de rejeitar a entrada, ele retorna um conjunto de reivindicações reduzido e relata sucesso, desde que a assinatura do Emissor permaneça válida. Esse comportamento ocorre quando um Disclosure é adulterado permanecendo como um JSON válido ou contém bytes UTF-8 inválidos. No caso de UTF-8 inválido, o caminho de decodificação TextDecoder / Buffer substitui caracteres por U+FFFD, resultando em dados sintaticamente válidos. Isso permite que um detentor malicioso explore um primitivo de omissão via SDJwtInstance.verify() durante a vinculação de chave, ou que um invasor no caminho adultere Disclosures quando a vinculação de chave não é imposta. Se a parte confiante permitir o acesso quando reivindicações de restrição, função ou idade estiverem ausentes, essa redução silenciosa pode levar a decisões de autorização indevidas.

Recommendations Atualize o @sd-jwt/core para a versão 0.20.0. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade no pacote independente @sd-jwt/decode.