CVE-2025-27371mediumCWE-305

CVE-2025-27371: falha de média gravidade em IETF RFC 7523

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar RFC

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 6.9epss 0.3%
Em resumo

Quando JWTs (tokens web especiais) são usados para autenticar clientes em OAuth 2.0, há regras pouco claras sobre quais valores de audiência os servidores devem aceitar. Essa falta de clareza pode permitir que invasores criem tokens falsos que burlam as proteções de segurança.

Detalhe técnico

A vulnerabilidade em CWE-305 (Falha em Etapa Criptográfica) surge de validação ambígua do claim de audiência em fluxos de autenticação OAuth 2.0 baseados em JWT em múltiplos RFCs (7523, 7521, 7522, 9101, 9126). Um atacante pode explorar inconsistências na lógica de validação de audiência para apresentar JWTs com valores de audiência manipulados que diferentes implementações podem aceitar de forma divergente, levando a emissão não autorizada de tokens.

Resumo gerado e traduzido por IA a partir da descrição oficial.
In certain IETF OAuth 2.0-related specifications, when the JSON Web Token Profile for OAuth 2.0 Client Authentication mechanism is used, there are ambiguities in the audience values of JWTs sent to authorization servers. The affected RFCs may include RFC 7523, and also RFC 7521, RFC 7522, RFC 9101 (JAR), and RFC 9126 (PAR).
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:H/A:N
Produtos afetados
IETF · RFC 7523