gchq/CyberChef

Bug report: JWT Verify doesn't require an algorithm

Open

#624 aberto em 27 de ago. de 2019

Ver no GitHub
 (3 comments) (0 reactions) (0 assignees)JavaScript (3.944 forks)batch import
featurehelp wanted

Métricas do repositório

Stars
 (34.843 stars)
Métricas de merge de PR
 (Mesclagem média 57d 13h) (62 fundiu PRs em 30d)

Description

As detailed here, JWT verification functions should require specifying the algorithm that should have been used, in order to prevent an attacker from changing the algorithm to a symmetric algorithm from an asymmetric one and using the public key to sign the token. Probably low priority for this particular app, but it would be good to at least have the option.

Guia do colaborador

Direção de pesquisa
Adicione um parâmetro de algoritmo à função de verificação JWT para evitar ataques de confusão de algoritmo. Consulte o aviso de segurança vinculado no problema.
Pilha de tecnologia
javascript
Domain
frontend
Tipo Issue
Segurança
DifficultyDificuldade de implementação estimada para um novo contribuidor, de 1 para alterações muito pequenas a 5 para trabalho de nível especializado.
2
Tempo estimadoUm intervalo de tempo aproximado para um colaborador experiente investigar, implementar, testar e preparar um pull request.
1-3 horas
Status da atividadeQuão disponível o issue aparece agora: novo, ativo, obsoleto, bloqueado ou aguardando entrada do mantenedor.
Ativo
ClarityCom que clareza o issue explica a mudança esperada, os critérios de aceitação e a próxima etapa.
Claro
Prerequisites
JavaScript
Simpatia para novatosUma pontuação de 1 a 100 que estima o quão acessível este issue é para colaboradores iniciantes.
70