gchq/CyberChef

Bug report: JWT Verify doesn't require an algorithm

Open

#624 aperta il 27 ago 2019

Vedi su GitHub
 (3 commenti) (0 reazioni) (0 assegnatari)JavaScript (3944 fork)batch import
featurehelp wanted

Metriche repository

Star
 (34.843 star)
Metriche merge PR
 (Merge medio 57g 13h) (62 PR mergiate in 30 g)

Descrizione

As detailed here, JWT verification functions should require specifying the algorithm that should have been used, in order to prevent an attacker from changing the algorithm to a symmetric algorithm from an asymmetric one and using the public key to sign the token. Probably low priority for this particular app, but it would be good to at least have the option.

Guida contributor

Direzione di ricerca
Aggiungi un parametro dell'algoritmo alla funzione di verifica JWT per prevenire attacchi di confusione dell'algoritmo. Fai riferimento all'avviso di sicurezza collegato nel problema.
Tech stack
javascript
Dominio
frontend
Tipo issue
Sicurezza
DifficoltàQuanto dovrebbe essere impegnativa per un nuovo contributor.
2
Tempo stimatoTempo stimato per completare e verificare uno scope piccolo.
1-3 ore
Stato attivitàQuanto è probabile che la issue sia ancora attiva e reviewable.
Attiva
ChiarezzaQuanto chiaramente la issue descrive problema, scope e risultato atteso.
Chiara
Prerequisiti
JavaScript
Adatta ai principiantiQuanto la issue è adatta a contributor alla prima esperienza.
70