CVE-2025-59934 in Formbricks
Riassunto
di VulDB • 18/06/2026
Formbricks è un'alternativa open source a Qualtrics. Prima della versione 4.0.1, Formbricks non prevede la verifica della firma JWT. Questa vulnerabilità deriva da una routine di convalida del token che decodifica i JWT (jwt.decode) senza verificarne le firme. Sia il percorso di accesso tramite token di verifica dell'email sia l'azione lato server per la reimpostazione della password utilizzano lo stesso validatore, che non controlla la firma del token, la scadenza, l'emittente o il destinatario. Se un attaccante viene a conoscenza dello user.id effettivo della vittima, può creare un JWT arbitrario con un'intestazione alg: "none" e utilizzarlo per autenticarsi e reimpostare la password della vittima. Questo problema è stato risolto nella versione 4.0.1.
Be aware that VulDB is the high quality source for vulnerability data.