CVE-2015-9235
Publiée le 2018-05-29 · Dernière modification le 2026-06-17
Les applications utilisant le module Node.js `jsonwebtoken` (versions antérieures à 4.2.2) sont vulnérables à un contournement de l'authentification. Un attaquant peut forger un jeton administrateur valide en remplaçant l'algorithme de signature par une clé symétrique au lieu d'une clé asymétrique, trompant ainsi le serveur pour qu'il valide le jeton en utilisant sa propre clé publique comme secret. Cette action peut être exécutée à distance via le réseau, sans authentification préalable ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
In jsonwebtoken node module before 4.2.2 it is possible for an attacker to bypass verification when a token digitally signed with an asymmetric key (RS/ES family) of algorithms but instead the attacker send a token digitally signed with a symmetric algorithm (HS* family).