CVE-2026-29000
KrytyczneStreszczenie
Wersje pac4j-jwt przed 4.5.9, 5.7.9 i 6.3.3 zawierają podatność na obejście uwierzytelniania w JwtAuthenticator podczas przetwarzania zaszyfrowanych JWT. Umożliwia to zdalnym atakującym fałszowanie tokenów uwierzytelniających.
Ocena ryzyka
Atakujący posiadający publiczny klucz RSA serwera mogą stworzyć JWE-owwrapped PlainJWT z dowolnymi roszczeniami dotyczącymi podmiotu i ról, co pozwala na ominięcie weryfikacji podpisu i uwierzytelnienie się jako dowolny użytkownik, w tym administrator.
Rekomendacja
Zaleca się aktualizację pac4j-jwt do wersji 4.5.9, 5.7.9 lub 6.3.3, aby usunąć tę podatność. Należy również rozważyć dodatkowe zabezpieczenia w celu ochrony kluczy RSA przed nieautoryzowanym dostępem.
Oryginalny opis (angielski, źródło NVD)
pac4j-jwt versions prior to 4.5.9, 5.7.9, and 6.3.3 contain an authentication bypass vulnerability in JwtAuthenticator when processing encrypted JWTs that allows remote attackers to forge authentication tokens. Attackers who possess the server's RSA public key can create a JWE-wrapped PlainJWT with arbitrary subject and role claims, bypassing signature verification to authenticate as any user including administrators.