CVE-2026-34240 in jose
सारांश
द्वारा VulDB • 03/06/2026
JOSE एक Javascript Object Signing and Encryption (JOSE) लाइब्रेरी है। संस्करण 0.3.5+1 से पहले, jose में एक कमजोरी के कारण प्रमाणीकृत नहीं किए गए रिमोट आक्रामक को JOSE हेडर (jwk) में एम्बेडेड कुंजी का उपयोग करके वैध JWS/JWT टोकन की नकल करने की अनुमति मिल सकती थी। यह कमजोरी इसलिए मौजूद है क्योंकि कुंटी चयन हेडर-प्रदान किए गए jwk को सत्यापन उम्मीदवार के रूप में मान सकता था, भले ही वह कुंजी विश्वसनीय कुंजी स्टोर में उपस्थित न हो। चूंकि JOSE हेडर्स अविश्वसनीय इनपुट हैं, एक आक्रामक टोकन पेलोड बनाकर, हेडर में अपने नियंत्रण वाले सार्वजनिक कुंजी को एम्बेडेड करके और मेल खाने वाली निजी कुंजी के साथ हस्ताक्षर करके इसका शोषण कर सकता है। टोकन सत्यापन के लिए प्रभावित संस्करणों का उपयोग करने वाले अनुप्रयोग प्रभावित हैं। यह मुद्दा संस्करण 0.3.5+1 में ठीक किया गया था। इसके लिए एक कार्यसिद्धांत हेडर jwk उपस्थित होने पर टोकन को अस्वीकार करना है, जब तक कि वह jwk अनुप्रयोग के विश्वसनीय कुंजी स्टोर में पहले से मौजूद किसी कुंजी से मेल न खाता हो।
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.