CVE-2026-53776
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Podatność w bibliotece Perry przed wersją 0.5.1166 umożliwia zdalnemu atakującemu ominięcie weryfikacji ważności tokenów JWT. Wynika to z bezwarunkowego ustawienia validate_exp = false w funkcji pomocniczej verify_decode w standardowej ścieżce weryfikacji JWT.
Ocena ryzyka
Atakujący posiadający wcześniej wydany token może używać go bezterminowo, nawet po wylogowaniu użytkownika lub administracyjnym unieważnieniu sesji. Prowadzi to do nieautoryzowanego dostępu do systemu i naruszenia integralności sesji.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę Perry do wersji 0.5.1166 lub nowszej. Jeśli aktualizacja nie jest możliwa, należy ręcznie wymusić weryfikację wygaśnięcia tokena w kodzie aplikacji.
Oryginalny opis (angielski, źródło NVD)
Perry before 0.5.1166 contains a JWT validation vulnerability that allows remote attackers to bypass token expiration by exploiting the unconditional setting of validate_exp = false in the verify_decode helper within the stdlib JWT verification path. Attackers in possession of a previously issued bearer token can present expired tokens to any jwt.verify() call and retain authenticated access indefinitely, bypassing force-expired sessions such as user logout or administrative revocation.