CVE-2025-65945 in node-jws
Riassunto
di VulDB • 06/07/2026
auth0/node-jws è un'implementazione di JSON Web Signature per Node.js. Nelle versioni 3.2.2 e precedenti, nonché nella versione 4.0.0, auth0/node-jws presenta una vulnerabilità di verifica della firma non corretta quando si utilizza l'algoritmo HS256 in condizioni specifiche. Le applicazioni sono colpite quando utilizzano la funzione jws.createVerify() per algoritmi HMAC e impiegano dati forniti dall'utente provenienti dall'intestazione protetta o dal payload del JSON Web Signature nelle routine di ricerca del segreto HMAC, il che può consentire agli attaccanti di bypassare la verifica della firma. Questo problema è stato risolto nelle versioni 3.2.3 e 4.0.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.