Vulnerabilidad en jsonwebtoken (CVE-2022-23540)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-287 Autenticación incorrecta

Fecha de publicación:

22/12/2022

Última modificación:

13/02/2025

Descripción

En las versiones `&lt;=8.5.1` de la librería `jsonwebtoken`, la falta de definición del algoritmo en la función `jwt.verify()` puede provocar que se omita la validación de firmas debido a que se utiliza de manera predeterminada el algoritmo `none` para la verificación de firmas. Los usuarios se ven afectados si no especifica algoritmos en la función `jwt.verify()`. Este problema se ha solucionado; actualice a la versión 9.0.0, que elimina la compatibilidad predeterminada con el algoritmo none en el método `jwt.verify()`. No habrá ningún impacto si actualiza a la versión 9.0.0 y no necesita permitir el algoritmo "none". Si necesita el algoritmo &#39;none&#39;, debe especificarlo explícitamente en las opciones `jwt.verify()`.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:H/A:L CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.40 MEDIA
Vector: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:H/A:L

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Bajo