CVE-2021-29446 in jose-node-cjs-runtime
الملخص
بحسب VulDB • 29/07/2026
jose-node-cjs-runtime هو حزمة npm توفر عددًا من الوظائف التشفيرية. في الإصدارات السابقة لـ 3.11.4، كان خوارزمية AES_CBC_HMAC_SHA2 (A128CBC-HS256, A192CBC-HS384, A256CBC-HS512) لفك التشفير ينفذ دائمًا كلًا من التحقق من توقيع HMAC وفك تشفير CBC، وإذا فشل أي منهما يتم رمي استثناء `JWEDecryptionFailed`. لكن هناك فرقاً زمنياً قد يكون قابلاً للملاحظة عند حدوث خطأ في الحشو أثناء فك تشفير النص المشفر مما يجعله عرضة لهجوم Padding Oracle وقد يتمكن الخصم من الاستفادة من هذا الثغرة لفك تشفير البيانات دون معرفة مفتاح التشفير عن طريق إصدار ما متوسطه 128*b استدعاءً لـ padding oracle (حيث b هو عدد البايتات في كتلة النص المشفر). تم إصدار تصحيح يضمن التحقق من توقيع HMAC قبل إجراء فك تشفير CBC. الإصدارات المصححة هي `>=3.11.4`. يجب على المستخدمين الترقية إلى `^3.11.4`.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.