gchq/CyberChef

Bug report: JWT Verify doesn't require an algorithm

Open

#624 geöffnet am 27. Aug. 2019

Auf GitHub ansehen
 (3 Kommentare) (0 Reaktionen) (0 zugewiesene Personen)JavaScript (3.944 Forks)batch import
featurehelp wanted

Repository-Metriken

Stars
 (34.843 Stars)
PR-Merge-Metriken
 (Durchschn. Merge 57T 13h) (62 gemergte PRs in 30 T)

Beschreibung

As detailed here, JWT verification functions should require specifying the algorithm that should have been used, in order to prevent an attacker from changing the algorithm to a symmetric algorithm from an asymmetric one and using the public key to sign the token. Probably low priority for this particular app, but it would be good to at least have the option.

Contributor Guide

Research-Richtung
Fügen Sie einen Algorithmusparameter zur JWT Verifizierungsfunktion hinzu, um Algorithmenverwechslungsangriffe zu verhindern. Beachten Sie die im Problem verlinkte Sicherheitsmitteilung.
Tech Stack
javascript
Domain
frontend
Issue Type
Sicherheit
SchwierigkeitGeschätzte Implementierungsschwierigkeit für neue Contributors, von 1 für sehr kleine Änderungen bis 5 für Expertenarbeit.
2
Geschätzte ZeitEin grober Zeitrahmen, um zu recherchieren, zu implementieren, zu testen und einen Pull Request vorzubereiten.
1-3 Stunden
AktivitätsstatusWie verfügbar das Issue gerade wirkt: frisch, aktiv, stale, blockiert oder wartet auf Maintainer-Input.
Aktiv
KlarheitWie klar das Issue die erwartete Änderung, Akzeptanzkriterien und den nächsten Schritt erklärt.
Klar
Voraussetzungen
JavaScript
EinsteigerfreundlichkeitEin Score von 1 bis 100, der schätzt, wie zugänglich dieses Issue für First-Time Contributors ist.
70