CVE-2026-45363
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Biblioteka ruby-jwt przed wersjami 2.10.3 i 3.2.0 zawiera podatność polegającą na akceptowaniu sfałszowanych tokenów JWT. Problem występuje, gdy do weryfikacji używany jest pusty klucz, co pozwala atakującemu na ominięcie mechanizmu uwierzytelniania.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do podszycia się pod dowolnego użytkownika lub uzyskania nieautoryzowanego dostępu do systemu, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę ruby-jwt do wersji 2.10.3 lub 3.2.0. Dodatkowo, zaleca się unikanie używania pustych kluczy w konfiguracji HMAC oraz stosowanie odpowiednich funkcji wyszukiwania kluczy (keyfinder).
Oryginalny opis (angielski, źródło NVD)
ruby-jwt is a Ruby implementation of the RFC 7519 OAuth JSON Web Token standard. Prior to 2.10.3 and 3.2.0, JWT.decode(token, '', true, algorithm: 'HS256') accepts an attacker-forged token because OpenSSL::HMAC.digest('SHA256', '', payload) returns a valid digest under an empty key and no empty-key precondition exists in the HMAC algorithm. The same path is reached when a keyfinder block or key_finder: argument returns an empty string, nil, or an array containing nil for an unknown key, affecting HS256, HS384, and HS512 verification through JWT.decode and JWT::EncodedToken#verify_signature!. This issue is fixed in versions 2.10.3 and 3.2.0.