CVE-2020-15084
Publiée le 2020-06-30 · Dernière modification le 2026-06-17
Les applications Node.js utilisant le package `express-jwt` (v5.3.3 et versions antérieures) sont vulnérables si elles utilisent `jwks-rsa` pour les secrets sans définir explicitement les algorithmes autorisés. Un attaquant disposant d'un compte avec des privilèges restreints pourrait potentiellement contourner l'autorisation et obtenir un accès administratif au système. Cet exploit est difficile à exécuter, car il nécessite un accès réseau spécifique, un compte authentifié existant et un certain niveau d'interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
In express-jwt (NPM package) up and including version 5.3.3, the algorithms entry to be specified in the configuration is not being enforced. When algorithms is not specified in the configuration, with the combination of jwks-rsa, it may lead to authorization bypass. You are affected by this vulnerability if all of the following conditions apply: - You are using express-jwt - You do not have **algorithms** configured in your express-jwt configuration. - You are using libraries such as jwks-rsa as the **secret**. You can fix this by specifying **algorithms** in the express-jwt configuration. See linked GHSA for example. This is also fixed in version 6.0.0.