Security advisory (GHSA-8cf7-32gw-wr33) clarification for symmetric algorithm types

オープン

#869 2023年1月3日に作成コメント 2 件リアクション 3 件担当者 0 名 GitHub で見る

まだ誰も着手していません。

評価

難易度: 2/5
見積もり時間: 1〜3時間
初心者へのやさしさ: 30/100

issue の種類: ドキュメント
明瞭さ: 説明が足りない
活発さ: 停滞
技術スタック: javascript, node.js
領域: documentation, security

調査の方向性

まず advisory GHSA-8cf7-32gw-wr33 と、issue に記載されている CVE-2022-23539 の条件を読みます。HS256 などの対称アルゴリズムが影響を受けるかを確認し、その後 advisory を明確化して、影響を受ける組み合わせとアルゴリズム要件に曖昧さがないようにします。

索引モデルが issue の本文から書いたものです。

説明

The recent advisory https://github.com/auth0/node-jsonwebtoken/security/advisories/GHSA-8cf7-32gw-wr33 makes it appear that only asymmetric algorithms are secure in v.8.5.1 in the sense that if one's using symmetric algorithms like HS256 you are "affected" by the vulnerability since HS256 is not listed in the tables.

Key type	algorithm
ec	ES256, ES384, ES512
rsa	RS256, RS384, RS512, PS256, PS384, PS512
rsa-pss	PS256, PS384, PS512

alg	Curve
ES256	prime256v1
ES384	secp384r1
ES512	secp521r1

But for CVE-2022-23539, isn't it true that you are affected only if BOTH of these conditions are true?

Using asymmetric algorithm <--- missing?
Using combinations other than what's listed...

主要言語: JavaScript
スター: 18.2k
フォーク: 1.3k
PR マージ指標: 30日以内にマージされた PR はありません

コントリビューションガイド

コントリビューションガイドを開く

はじめの一歩

issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
リポジトリをフォークし、ブランチを切って変更します。
issue 番号を参照したプルリクエストを送ります。

auth0/node-jsonwebtoken のほかの issue

jwt.verify() returns numeric payload claims as strings オープン

難易度 2/5 1〜3時間初心者へのやさしさ 72/100

auth0/node-jsonwebtoken#1042 · コメント 1 件 · 2026年8月12日に作成
`jwt.sign()` callback is executed twice for "The payload already has an "..." property" errors オープン

難易度 2/5 1〜3時間初心者へのやさしさ 84/100

auth0/node-jsonwebtoken#1000 · コメント 2 件 · リアクション 1 件 · 2025年9月10日に作成
verify() resolves a string secret by attempting createPublicKey() first, costing 4x-52x on the HS* path オープン

難易度 4/5 3〜5日初心者へのやさしさ 65/100

auth0/node-jsonwebtoken#1046 · 2026年9月17日に作成
[Tool Share] cad-automation - Zero-cost CAD automation tool オープン

難易度 5/5 1週間以上初心者へのやさしさ 10/100

auth0/node-jsonwebtoken#1034 · 2026年6月14日に作成
jwt.verify accepts tokens with unrecognized `crit` header extensions (RFC 7515 §4.1.11) オープン

難易度 3/5 1〜2日初心者へのやさしさ 48/100

auth0/node-jsonwebtoken#1032 · 2026年5月27日に作成

auth0/node-jsonwebtoken の issue をすべて見る

似ている issue

Update HugeIcons library オープン

難易度 2/5 1〜3時間初心者へのやさしさ 65/100

antfu-collective/icones#398 · 2026年9月24日に作成
ECmail.com オープン

難易度 1/5 1時間未満初心者へのやさしさ 90/100

wesbos/burner-email-providers#554 · 2026年9月24日に作成
Default dort filter shows warning オープン

難易度 2/5 1〜3時間初心者へのやさしさ 65/100

radiantearth/stac-browser#1023 · 2026年9月24日に作成
HMR stops working オープン

難易度 2/5 1〜3時間初心者へのやさしさ 75/100

ryan-haskell/vite-plugin-elm-watch#20 · 2026年9月24日に作成
Page caching: document the warm origin, and that rendering and warming need different URLs オープン

難易度 2/5 1〜3時間初心者へのやさしさ 75/100

components-web-app/docs#92 · 2026年9月24日に作成

JavaScript の issue をもっと見る