CVE-2026-89313

ŚrednieCVSS 6.3

Opublikowano: 23/10/2026(UTC)Zaktualizowano: 02/11/2026(UTC)Przetłumaczono: 23/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.23%

Percentyl 13 - wyżej niż 13% wszystkich znanych CVE

Streszczenie

Funkcja JwksTrustStore.Get przypisywała każdy sparsowany klucz do nazwanego zwracanego parametru funkcji podczas odświeżania pamięci podręcznej JWKS. Gdy żądany kid nie istniał, końcowe nagie return zwracało wywołującemu ostatni klucz z dokumentu JWKS wraz z błędem nil — błędną odpowiedź zamiast informacji o braku klucza.

Ocena ryzyka

Usługa może zaakceptować niewłaściwy klucz zamiast odrzucić nieznany identyfikator klucza, co może prowadzić do błędnej weryfikacji podpisów lub tokenów. Może to osłabić mechanizmy uwierzytelniania i zaufania.

Rekomendacja

Zaktualizuj bibliotekę do wersji z poprawką, która zwraca błąd przy braku klucza. Zweryfikuj logikę obsługi nieznanych kid w aplikacjach korzystających z tej biblioteki.

Inne podatności w JWK/JWKS library

CVE-2026-89314Średnie
Funkcja jwkFields.CheckConsistency wykrywała zduplikowane wpisy key_ops przy użyciu zagnieżdżonej pętli, przez co koszt walidacji rósł kwadratowo wraz z liczbą wpisów. Ponieważ sprawdzenie uruchamiane jest przy każdym unmarshal JWK i JWKS, umiarkowanie duży, ale wrogi dokument JWKS może zajmować rdzeń CPU przez wiele sekund.

Oryginalny opis (angielski, źródło NVD)

`JwksTrustStore.Get` assigned each parsed key to the function's **named return value** while refreshing the JWKS cache. When the requested `kid` was not present, the trailing naked `return` handed the caller the last key in the JWKS document together with a `nil` error — a confidently wrong answer instead of "not found".

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS