Очевидный патч JWT не закрывает уязвимость: 2 уязвимости приняты, затем 1, никогда 0
DEV · 14.11.2026 · 23:21
Проблема с алгоритмом в JWT считается решенной, но на практике это не всегда так. Автор проводит тесты на нескольких валидаторах токенов, чтобы продемонстрировать, как код может неверно…
Оригинал
El parche obvio del JWT no cierra la forja: 2 forjas aceptadas, luego 1, nunca 0
La confusión de algoritmo en JWT tiene fama de problema resuelto. Está en todas las listas: alg: none, RS256 → HS256, «valida el algoritmo». Y como está resuelto en la literatura, se resuelve mal en el código: se añade un if que rechaza none, se da el caso por cerrado y el tablero se pone verde. Escribí tres verificadores del mismo servicio y medí qué pasa con el mismo ataque contra cada uno. No con opinión: con código de salida. El servicio Un validador de tokens que firma con RSA y