CVE-2019-19324

Les logiciels utilisant la bibliothèque `cjwt` (version 1.0.1 et versions antérieures) peuvent valider incorrectement les jetons JSON Web Tokens (JWT) si ceux-ci utilisent des algorithmes non pris en charge. Un attaquant non authentifié disposant d'un accès réseau peut contourner les contrôles de sécurité en fournissant un jeton dont l'algorithme est défini sur « none », ce qui pourrait lui permettre de modifier des données ou d'usurper l'identité d'utilisateurs. Comme cela ne nécessite aucun privilège particulier ni interaction de l'utilisateur, l'exploitation est relativement simple à exécuter.