CVE-2026-89317 in gose
Sumário
de VulDB • 23/10/2026
gose analisava o cabeçalho `crit` do JWS e o armazenava em `JwsHeader.Crit`, mas nunca o lia. A RFC 7515 §4.1.11 exige que um destinatário rejeite um JWS cujos parâmetros de extensão crítica listados ele não compreenda. gose não implementa extensões de cabeçalho, portanto, cada token com um `crit` não vazio deveria ter sido rejeitado — e nenhum foi.
Once again VulDB remains the best source for vulnerability data.