正文

Lcobucci jwt 数据伪造问题漏洞

admin
admin V管理员 /0 评论 /17 阅读
0306
此篇文章发布距今已超过1212天，您需要注意文章的内容或图片是否可用！

漏洞信息详情

Lcobucci jwt 数据伪造问题漏洞

  • CNNVD编号：CNNVD-202109-1868
    • <!--
  • 危害等级： 低危-->
  • 危害等级： 低危
  • CVE编号： CVE-2021-41106
  • 漏洞类型： 数据伪造问题
  • 发布时间： 2021-09-28
  • 威胁类型： 本地
  • 更新时间： 2021-10-08
  • 厂        商：
  • 漏洞来源：

漏洞简介

Jwt是一个使用Json Web Token和Json Web Signature的简单库。

Lcobucci jwt 存在数据伪造问题漏洞，该漏洞源于产品中基于hmac算法使用文件路径作为哈希密钥来验证令牌导致未能验证数据的有效性。攻击者可通过伪造的数据发起请求。以下产品及版本受到影响：Lcobucci jwt 3.4.6、Lcobucci jwt 4.0.4 及 Lcobucci jwt 4.1.5 之前版本。

漏洞公告

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://github.com/lcobucci/jwt/security/advisories/GHSA-7322-jrq4-x5hf

参考网址

来源:CONFIRM

链接:https://github.com/lcobucci/jwt/security/advisories/GHSA-7322-jrq4-x5hf

来源:MISC

链接:https://github.com/lcobucci/jwt/commit/c45bb8b961a8e742d8f6b88ef5ff1bd5cca5d01c

来源:MISC

链接:https://github.com/lcobucci/jwt/commit/8175de5b841fbe3fd97d2d49b3fc15c4ecb39a73

受影响实体

    暂无


补丁

  • Lcobucci jwt 数据伪造问题漏洞的修复措施
    <!--
    2021-9-28
    -->