CVE-2026-25537

Wysokie

Opublikowano: 04/02/2026(UTC)Przetłumaczono: 31/05/2026(UTC)NVD NIST

Streszczenie

W bibliotece jsonwebtoken w języku Rust, przed wersją 10.3.0, występuje podatność typu Type Confusion w logice walidacji roszczeń. Błędny typ JSON dla standardowego roszczenia (np. nbf lub exp) powoduje, że mechanizm analizy wewnętrznej oznacza roszczenie jako 'FailedToParse', co jest traktowane jak 'NotPresent'.

Ocena ryzyka

To pozwala atakującym na ominięcie krytycznych ograniczeń bezpieczeństwa opartych na czasie, co może prowadzić do obejścia mechanizmów uwierzytelniania i autoryzacji.

Rekomendacja

Zaleca się aktualizację biblioteki jsonwebtoken do wersji 10.3.0 lub nowszej, aby usunąć tę podatność.

Powiązane podatności

Oryginalny opis (angielski, źródło NVD)

jsonwebtoken is a JWT lib in rust. Prior to version 10.3.0, there is a Type Confusion vulnerability in jsonwebtoken, specifically, in its claim validation logic. When a standard claim (such as nbf or exp) is provided with an incorrect JSON type (Like a String instead of a Number), the library’s internal parsing mechanism marks the claim as “FailedToParse”. Crucially, the validation logic treats this “FailedToParse” state identically to “NotPresent”. This means that if a check is enabled (like: validate_nbf = true), but the claim is not explicitly marked as required in required_spec_claims, the library will skip the validation check entirely for the malformed claim, treating it as if it were not there. This allows attackers to bypass critical time-based security restrictions (like “Not Before” checks) and commit potential authentication and authorization bypasses. This issue has been patched in version 10.3.0.