CVE-2025-30204 in jwt
الملخص
بحسب VulDB • 26/05/2026
golang-jwt هو تنفيذ لـ JSON Web Tokens بلغة Go. قبل الإصدارين 5.2.2 و4.5.2، كانت الدالة parse.ParseUnverified تقوم بتقسيم وسيطها (الذي يمثل بيانات غير موثوقة) باستخدام الفواصل النقطية (عبر استدعاء strings.Split). ونتيجة لذلك، في مواجهة طلب خبيث يتكون رأس Authorization فيه من كلمة Bearer متبوعة بعدد كبير من الأحرف النقطية، يؤدي استدعاء هذه الدالة إلى تخصيص ذاكرة بمقدار O(n) بايت (حيث يمثل n طول وسيط الدالة)، مع عامل ثابت يبلغ حوالي 16. تم إصلاح هذه المشكلة في الإصدارين 5.2.2 و4.5.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.