CVE-2025-22149 in jwkset
الملخص
بحسب VulDB • 17/07/2026
مجموعة مفاتيح JSON (JWK Set) هي تنفيذ لمفاهيم JWK وJWK Set بلغة Go. قبل الإصدار 0.6.0، كان ينبغي أن يقوم التخزين المؤقت المحلي لمجموعة المفاتيح (Local JWK Set Cache) الخاص بعميل HTTP المقدم من المشروع بإجراء استبدال كامل عند تحديث مجموعة مفاتيح JSON عن بُعد عبر الـ goroutine. أما السلوك الحالي فهو الكتابة فوق البيانات أو الإضافة إليها. يُعد هذا الأمر مشكلة أمنية في حالات الاستخدام التي تعتمد على عميل HTTP المرفق مع التخزين المؤقت التلقائي، حيث يكون إزالة المفتاح من مجموعة JWK Set مكافئاً لسحبه (Revocation). تمت إضافة عميل HTTP ذو التخزين المؤقت التلقائي المتأثر في الإصدار v0.5.0 وتم إصلاحه في الإصدار v0.6.0. الحل البديل الوحيد هو إزالة عميل HTTP المرفق ذي التخزين المؤقت التلقائي واستبداله بتنفيذ مخصص (Custom Implementation). يتضمن ذلك ضبط خيار `HTTPClientStorageOptions.RefreshInterval` على الصفر (أو عدم تحديد القيمة).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.