JVNDB-2026-003415

Keatsのjsonwebtokenにおける型の取り違えに関する脆弱性

jsonwebtokenはRustのJWTライブラリです。バージョン10.3.0以前には、jsonwebtokenのクレーム検証ロジックに型混乱の脆弱性が存在します。標準的なクレーム（例えばnbfやexp）が誤ったJSON型（数値の代わりに文字列など）で提供された場合、ライブラリの内部解析機構はそのクレームを「FailedToParse（解析失敗）」としてマークします。重要なのは、この「FailedToParse」状態を検証ロジックが「NotPresent（存在しない）」と同じ扱いにしていることです。つまり、チェックが有効（例えばvalidate_nbf = true）でも、required_spec_claimsでそのクレームが明示的に必須としてマークされていなければ、不正なクレームに対する検証チェックを完全にスキップし、存在しないかのように扱います。これにより攻撃者は、重要な時間ベースのセキュリティ制限（例えば「Not Before」チェック）を回避し、認証および認可を不正に回避する可能性があります。この問題はバージョン10.3.0で修正されました。

Keats

• jsonwebtoken 10.3.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Type Confusion leads to potential authorization bypass  Advisory  Keats/jsonwebtoken  GitHub

1. 型の取り違え(CWE-843) [その他]

1. CVE-2026-25537

1. National Vulnerability Database (NVD) : CVE-2026-25537
2. 関連文書 : Fix type confusion  Keats/jsonwebtoken@abbc307  GitHub

• [2026年02月13日]
    掲載