CVE-2025-54887 in ruby-jwe
摘要
由 VulDB • 2026-06-22
jwe 是 RFC 7516 JSON Web Encryption (JWE) 标准的 Ruby 实现。在 1.1.0 及更低版本中，加密 JWE 的认证标签（authentication tags）可能被暴力破解，这可能导致这些 JWE 的机密性丧失，并为构造任意 JWE 提供途径。由于 JWE 可被修改以解密为任意值、通过观察解析差异进行解密以及恢复 GCM 内部 GHASH 密钥，用户面临风险。即使用户在他们的 JWE 中未使用 AES-GCM 加密算法，也会受到此漏洞的影响。鉴于 GHASH 密钥可能已泄露，用户在升级后必须轮换加密密钥。该问题已在版本 1.1.1 中得到修复。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.