Vulnerabilidad en golang-jwt (CVE-2025-30204)
Gravedad CVSS v3.1:
ALTA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
21/03/2025
Última modificación:
10/04/2025
Descripción
golang-jwt es una implementación de Go de tokens web JSON. En versiones anteriores a la 5.2.2 y la 4.5.2, la función parse.ParseUnverified divide (mediante una llamada a strings.Split) su argumento (que contiene datos no confiables) en puntos. Como resultado, ante una solicitud maliciosa cuyo encabezado de autorización consiste en "Bearer" seguido de muchos puntos, una llamada a dicha función genera asignaciones de O(n) bytes (donde n representa la longitud del argumento de la función), con un factor constante de aproximadamente 16. Este problema se solucionó en las versiones 5.2.2 y 4.5.2.
Impacto
Puntuación base 3.x
7.50
Gravedad 3.x
ALTA