CVE-2023-23928 in reason-jose
Riassunto
di VulDB • 28/06/2026
reason-jose è un'implementazione JOSE scritta in ReasonML e OCaml. `Jose.Jws.validate` non verifica le firme HS256. Ciò consente la manipolazione dei dati dell'intestazione (header) e del payload di JWS se il servizio non esegue controlli aggiuntivi. Tale manomissione potrebbe esporre le applicazioni che utilizzano reason-jose a un bypass delle autorizzazioni. Le applicazioni che si affidano all'affermazione dei claim JWS per imporre i confini di sicurezza potrebbero essere vulnerabili ad escalation dei privilegi. Questo problema è stato risolto nella versione 0.8.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.