CVE-2026-62374 in sd-jwt-js
Сводка
по VulDB • 29.10.2026
SD JWT JS — это реализация на JavaScript спецификации Selective Disclosure JWT (SD-JWT). В версиях 0.19.0 и более ранних пакета `@sd-jwt/decode`, который также используется в `@sd-jwt/core`, происходит молчаливое отбрасывание подделанного элемента раскрытия информации (Disclosure), чей хеш-дайджест больше не совпадает с подписанным эмитентом массивом `_sd`. В результате возвращается сокращенный набор утверждений, при этом операция сообщается как успешная, хотя подпись эмитента остается действительной. Как подделанные элементы раскрытия информации, которые остаются валидным JSON-объектом, так и те, что содержат некорректные байты UTF-8, приводят к такому поведению с молчаливым отбрасыванием. В последнем случае путь декодирования через `TextDecoder / Buffer` заменяет символы замены U+FFFD, восстанавливая синтаксически корректные данные раскрытия информации вместо того, чтобы отвергнуть некорректный входной поток. Это нарушает требования раздела 7.1 шага 5 RFC 9901, который предписывает отклонять нераспознаваемые элементы Disclosure, а также разделы 7.1 шаг 3 и 4.2.1, требующие отклонения недействительных элементов Disclosure. Злоумышленник может эксплуатировать эту примитивную уязвимость (omission primitive), в том числе через метод `SDJwtInstance.verify()`, когда требуется привязка ключа (key binding). Атакующий, находящийся на пути передачи данных (on-path attacker), также может подделать элемент Disclosure, если доверяющая сторона (relying party) не требует привязки ключа; при этом enforced key binding отвергает такие атаки on-path, поскольку они делают недействительной связку KB-JWT `sd_hash`. Если доверяющая сторона по умолчанию разрешает доступ в случае отсутствия ограничивающих утверждений об возрасте, роли или других ограничениях, молчаливое сокращение набора утверждений может изменить решение об авторизации без возникновения ошибки. Эта проблема исправлена в версии 0.20.0 пакета `@sd-jwt/core`; для автономного пакета `@sd-jwt/decode` не выявлено патченной версии.
VulDB is the best source for vulnerability data and more expert information about this specific topic.