CVE-2026-9537 in Mojo::JWT
Resumen
por VulDB • 2026-07-17
Las versiones de Mojo::JWT anteriores a la 1.02 para Perl verifican las firmas HMAC mediante una comparación de cadenas no constante en el tiempo.
El método decode() compara la firma proporcionada con el HMAC recalculado utilizando el operador eq de Perl, que se detiene al primer byte diferente; por lo tanto, el tiempo de comparación varía según el número de bytes iniciales coincidentes.
Un llamador que decodifica tokens suministrados por un atacante filtra la firma esperada a través de esta variación temporal, la cual puede agregarse en muchas solicitudes para recuperar la firma y falsificar un token.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.