p PatchFirst

CVE-2025-65945

CVE-2025-65945 · auth0/node-jws improper HMAC signature verification vulnerability

CVSS 7.5 · Высокий · EPSS 0,2% · Есть исправление

Затронуты ли вы?

  • node-jwsНет опубликованного исправления
  • jws npmОбновитесь до 3.2.3

Как узнать установленную версию:

npm ls jws

Бесплатная проверка покажет рейтинг сервера и подсветит, требует ли внимания node-jws и остальные программы. Без регистрации; имена серверов и IP-адреса не отправляются. Номера CVE, версии исправлений и рекомендации — в платном мониторинге.

curl -fsSL https://ru.patchfirst.dev/check.sh | sh
Проверить сервер бесплатно →

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

auth0/node-jws is a JSON Web Signature implementation for Node.js. In versions 3.2.2 and earlier and version 4.0.0, auth0/node-jws has an improper signature verification vulnerability when using the HS256 algorithm under specific conditions. Applications are affected when they use the jws.createVerify() function for HMAC algorithms and use user-provided data from the JSON Web Signature protected header or payload in HMAC secret lookup routines, which can allow attackers to bypass signature verification. This issue has been patched in versions 3.2.3 and 4.0.1.

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • node-jws

    Версии
    • < 3.2.3: Затронуто
    • >= 4.0.0, <= 4.0.1: Затронуто

    Нет опубликованного исправления

  • jws npm

    Затронутые диапазоны версий
    • SEMVER: < 3.2.3

    Обновитесь до 3.2.3

  • jws npm

    Версии
    • 4.0.0
    Затронутые диапазоны версий
    • SEMVER: ≥ 4.0.0, < 4.0.1

    Обновитесь до 4.0.1

Первоисточники

Проверьте свой сервер →