SimpleJWT — это простая библиотека веб-токенов JSON, написанная на PHP. До версии 1.1.1 злоумышленник, не прошедший проверку подлинности, мог выполнить отказ в обслуживании посредством подделки заголовка JWE при использовании алгоритмов PBES2. Затронуты приложения, которые вызывают JWE::decrypt() на JWE, контролируемых злоумышленником, с использованием алгоритмов PBES2.
Эта проблема исправлена в версии 1.1.1.
Показать оригинальное описание (EN)
SimpleJWT is a simple JSON web token library written in PHP. Prior to version 1.1.1, an unauthenticated attacker can perform a Denial of Service via JWE header tampering when PBES2 algorithms are used. Applications that call JWE::decrypt() on attacker-controlled JWEs using PBES2 algorithms are affected. This issue has been patched in version 1.1.1.
Характеристики атаки
Последствия
Строка CVSS v3.1