CVE-2025-22149 in jwkset
Tóm tắt
Bởi VulDB • 29/08/2026
JWK Set (JSON Web Key Set) là một triển khai JWK và JWK Set bằng ngôn ngữ Go. Trước phiên bản 0.6.0, bộ nhớ đệm JWK Set cục bộ của máy khách HTTP do dự án cung cấp cần thực hiện việc thay thế toàn bộ khi goroutine làm mới tập hợp khóa từ xa (remote JWK Set). Hành vi hiện tại là ghi đè hoặc nối thêm dữ liệu. Đây là một vấn đề bảo mật đối với các trường hợp sử dụng tận dụng máy khách HTTP tự động lưu trữ cache được cung cấp, trong đó việc loại bỏ khóa khỏi JWK Set tương đương với việc thu hồi quyền truy cập (revocation). Máy khách HTTP có tính năng tự động lưu trữ cache bị ảnh hưởng đã được thêm vào ở phiên bản v0.5.0 và được sửa chữa trong phiên bản v0.6.0. Biện pháp khắc phục duy nhất là loại bỏ máy khách HTTP tự động lưu trữ cache do dự án cung cấp và thay thế nó bằng một triển khai tùy chỉnh. Điều này liên quan đến việc đặt RefreshInterval của HTTPClientStorageOptions về 0 (hoặc không chỉ định giá trị).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.