CVE-2026-89315
Publiée le 2026-10-23 · Dernière modification le 2026-10-23
La bibliothèque Go utilisée pour le traitement des JSON Web Tokens (JWT) contient une faille dans sa fonction `JwtClaims.MarshalJSON`. Cette fonction crée dynamiquement une structure de données basée sur les noms des revendications (claims) fournies dans un jeton. Comme elle ne valide pas ces noms, l'utilisation d'une revendication qui n'est pas un identifiant Go valide, ou qui provoque un nom de champ en double, déclenche un crash (runtime panic).
Un attaquant peut utiliser cela pour faire planter l'application, entraînant un déni de service (DoS) qui impacte la disponibilité du système. L'exploitation est simple car elle ne nécessite ni authentification, ni interaction de l'utilisateur, et peut être déclenchée via le réseau. Bien que cela ne permette pas le vol de données ou un accès non autorisé, cela peut effectivement rendre votre service indisponible.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
`JwtClaims.MarshalJSON` built a Go struct at runtime with `reflect.StructOf`, synthesising a field named `"A" + claimName` for each untyped claim. `reflect.StructOf` **panics** when a field name is not a valid Go identifier, or when it duplicates another field. Both conditions are reachable from ordinary JWT claim names.