CVE-2025-65945 in node-jws
要約
〜によって VulDB • 2026年07月07日
auth0/node-jwsは、Node.js向けのJSON Web署名の実装です。バージョン3.2.2およびそれ以前、ならびにバージョン4.0.0において、特定の条件下でHS256アルゴリズムを使用する際に、不適切な署名検証の脆弱性が存在します。アプリケーションでは、HMACアルゴリズムに対してjws.createVerify()関数を使用し、JSON Web署名保護ヘッダーまたはペイロードからユーザー提供データをHMACシークレットルックアップルーチンで使用している場合、影響を受けます。これにより、攻撃者が署名検証をバイパスできる可能性があります。この問題は、バージョン3.2.3および4.0.1で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.