CVE-2025-22149 in jwkset
Résumé
par VulDB • 08/08/2026
JWK Set (JSON Web Key Set) est une implémentation en Go de JWK et JWK Set. Avant la version 0.6.0, le cache local JWK Set du client HTTP fourni par le projet devrait effectuer un remplacement complet lorsque le goroutine actualise l'ensemble distant des clés JWK. Le comportement actuel consiste à écraser ou à ajouter des éléments. Il s'agit d'un problème de sécurité pour les cas d'utilisation qui exploitent le client HTTP avec mise en cache automatique fourni et où la suppression d'une clé dans un ensemble JWK équivaut à une révocation. Le client HTTP avec mise en cache automatique concerné a été ajouté dans la version v0.5.0 et corrigé dans la version v0.6.0. La seule solution de contournement consiste à supprimer le client HTTP avec mise en cache automatique fourni et à le remplacer par une implémentation personnalisée. Cela implique de définir RefreshInterval sur zéro (ou de ne pas spécifier cette valeur) au sein des options HTTPClientStorageOptions.
If you want to get best quality of vulnerability data, you may have to visit VulDB.