gchq/CyberChef

Bug report: JWT Verify doesn't require an algorithm

Open

#624 ouverte le 27 août 2019

Voir sur GitHub
 (3 commentaires) (0 réactions) (0 assignés)JavaScript (3 944 forks)batch import
featurehelp wanted

Métriques du dépôt

Stars
 (34 843 stars)
Métriques de merge PR
 (Merge moyen 57j 13h) (62 PRs mergées en 30 j)

Description

As detailed here, JWT verification functions should require specifying the algorithm that should have been used, in order to prevent an attacker from changing the algorithm to a symmetric algorithm from an asymmetric one and using the public key to sign the token. Probably low priority for this particular app, but it would be good to at least have the option.

Guide contributeur

Direction de recherche
Ajoutez un paramètre d'algorithme à la fonction de vérification JWT pour éviter les attaques de confusion d'algorithme. Référez vous à l'avis de sécurité lié dans le problème.
Stack technique
javascript
Domaine
frontend
Type d'issue
Sécurité
DifficultéDifficulté estimée pour un nouveau contributeur, de 1 pour un très petit changement à 5 pour un travail expert.
2
Temps estiméFourchette de temps approximative pour investiguer, implémenter, tester et préparer une pull request.
1-3 heures
Statut d'activitéDisponibilité apparente de l'issue : fraîche, active, ancienne, bloquée ou en attente d'un mainteneur.
Active
ClartéClarté avec laquelle l'issue explique le changement attendu, les critères d'acceptation et la prochaine étape.
Claire
Prérequis
JavaScript
Accessibilité débutantScore de 1 à 100 estimant l'accessibilité de cette issue pour un premier contributeur.
70