BDU:2026-02532

Опубликовано: 04 мар. 2026

Источник: fstec

CVSS3: 10

CVSS2: 9.7

EPSS Низкий

Описание

Уязвимость компонента JwtAuthenticator библиотеки аутентификации и авторизации pac4j-jwt связана с ошибками проверки криптографической подписи. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти существующие ограничения безопасности путем отправки специально сформированных пакетов

Вендор

Сообщество свободного программного обеспечения

Наименование ПО

pac4j-jwt

Версия ПО

от 4.0.0 до 4.5.9 (pac4j-jwt)

от 5.0.0 до 5.7.9 (pac4j-jwt)

от 6.0.0 до 6.3.3 (pac4j-jwt)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9,7)

Критический уровень опасности (базовая оценка CVSS 3.1 составляет 10)

Критический уровень опасности (оценка CVSS 4.0 составляет 10)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- использование средств межсетевого экранирования для ограничения удалённого доступа к уязвимому программному обеспечению;

- ограничение доступа к уязвимому программному обеспечению, используя схему доступа по «белым спискам»;

- использование SIEM-систем для отслеживания событий, связанных с обработкой токенов JWT;

- использование виртуальных частных сетей для организации удаленного доступа (VPN);

- ограничение доступа из внешних сетей (Интернет).

Использование рекомендаций:

https://www.pac4j.org/blog/security-advisory-pac4j-jwt-jwtauthenticator.html

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2026-29000
CVE

EPSS

Процентиль: 93%

0.05856

Низкий

10 Critical

CVSS3

9.7 Critical

CVSS2

Связанные уязвимости

CVE-2026-29000

CVSS3: 9.1

nvd

6 месяцев назад

pac4j-jwt versions prior to 4.5.9, 5.7.9, and 6.3.3 contain an authentication bypass vulnerability in JwtAuthenticator when processing encrypted JWTs that allows remote attackers to forge authentication tokens. Attackers who possess the server's RSA public key can create a JWE-wrapped PlainJWT with arbitrary subject and role claims, bypassing signature verification to authenticate as any user including administrators.

GHSA-pm7g-w2cf-q238