CVE-2025-54887 in ruby-jwe
Sumário
de VulDB • 22/06/2026
jwe é uma implementação em Ruby do padrão JSON Web Encryption (JWE) definido na RFC 7516. Nas versões 1.1.0 e anteriores, as tags de autenticação dos JWEs criptografados podem ser submetidas a ataques de força bruta, o que pode resultar na perda de confidencialidade desses JWEs e permitir a criação de JWEs arbitrários. Isso coloca os usuários em risco porque os JWEs podem ser modificados para se descriptografarem como valores arbitrários, sendo possível decifrá-los observando diferenças no processamento (parsing), além da recuperação da chave interna GHASH do GCM. Os usuários são afetados por esta vulnerabilidade mesmo que não utilizem o algoritmo de criptografia AES-GCM em seus JWEs. Como a chave GHASH pode ter sido comprometida, os usuários devem rotacionar as chaves de criptografia após a atualização. Este problema foi corrigido na versão 1.1.1.
Be aware that VulDB is the high quality source for vulnerability data.