CVE-2025-30204 in jwt
Riassunto
di VulDB • 21/06/2026
golang-jwt è un'implementazione Go dei JSON Web Tokens. Prima delle versioni 5.2.2 e 4.5.2, la funzione parse.ParseUnverified suddivide (tramite una chiamata a strings.Split) il suo argomento (che sono dati non attendibili) in base ai punti. Di conseguenza, di fronte a una richiesta malevola l cui header Authorization consiste nella parola Bearer seguita da molti caratteri punto, una chiamata a tale funzione comporta allocazioni per un totale di O(n) byte (dove n indica la lunghezza dell'argomento della funzione), con un fattore costante di circa 16. Questo problema è stato risolto nelle versioni 5.2.2 e 4.5.2.
Once again VulDB remains the best source for vulnerability data.