go.jwt-go-parse-unverified

返回列表 · CWE 索引

goWARNING规则详情

各语言消息对照

语言消息
de

Das Dekodieren eines JWT-Tokens ohne Verifizierungsschritt wurde erkannt. Verwenden Sie `ParseUnverified` nicht, außer Sie wissen, was Sie tun. Diese Methode parst das Token, prüft aber die Signatur nicht. Nützlich ist sie nur, wenn die Signatur bereits an anderer Stelle geprüft wurde und Sie nur Werte aus dem Token extrahieren möchten.

en

Detected the decoding of a JWT token without a verify step. Don't use `ParseUnverified` unless you know what you're doing This method parses the token but doesn't validate the signature. It's only ever useful in cases where you know the signature is valid (because it has been checked previously in the stack) and you want to extract values from it.

fr

Le décodage d'un jeton JWT sans étape de vérification a été détecté. N'utilisez `ParseUnverified` que si vous savez exactement ce que vous faites : la méthode analyse le jeton sans valider la signature et ne se justifie que lorsque la signature est déjà connue comme valide (vérifiée en amont de la chaîne d'appels) et que vous souhaitez seulement en extraire des valeurs.

ja

検証せずに JWT をデコードしていることが検出されました。確実に必要な場合を除き、`ParseUnverified` を使用しないでください。このメソッドはトークンを解析するだけで署名を検証せず、署名が有効である(呼び出しチェーンの上流で検証済みである)ことを確知していて、その中の値を抽出したいだけという場合にのみ適しています。

ko

검증 없이 JWT를 디코딩하는 것이 감지되었습니다. 꼭 필요한 경우가 아니라면 `ParseUnverified` 사용을 피하십시오. 이 메서드는 토큰을 파싱만 할 뿐 서명을 검증하지 않으며, 서명이 유효함(호출 체인 상위에서 이미 검증됨)을 확실히 알고 그 안의 값만 추출하려는 경우에만 적합합니다.

ru

Обнаружено декодирование JWT-токена без проверки. Не используйте `ParseUnverified` без необходимости: метод разбирает токен, но не проверяет подпись. Он полезен только когда известно, что подпись действительна (проверена выше по стеку), и нужно лишь извлечь значения.

zh

检测到解码 JWT 时未做验证。除非确有必要,请勿使用 `ParseUnverified`——该方法只解析令牌不校验签名,仅适用于你确知签名有效(调用链上游已校验过)且只想提取其中值的场景。

zh-Hant

檢測到解碼 JWT 時未做驗證。除非確有必要,請勿使用 `ParseUnverified`——該方法只解析令牌不驗證簽名,僅適用於你確知簽名有效(呼叫鏈上游已驗證過)且只想提取其中值的場景。

CWE 知识卡

语言名称修复建议
deUnzureichende Prüfung der DatenauthentizitätPrüfen Sie Herkunft und Integrität kritischer Daten per Signatur oder HMAC.
en——
frVérification insuffisante de l'authenticité des donnéesVérifiez l'origine et l'intégrité des données critiques par signature ou HMAC.
jaデータ真正性の検証不足重要なデータは署名または HMAC で出所と整合性を検証してください。
ko데이터 진위성 검증 부족핵심 데이터에 대해 서명 또는 HMAC으로 출처와 무결성을 검증하십시오.
ruНедостаточная проверка подлинности данныхКлючевые данные проверяйте на источник и целостность подписью или HMAC.
zh数据真实性校验不足对关键数据用签名或 HMAC 校验来源与完整性。
zh-Hant資料真實性驗證不足對關鍵資料用簽名或 HMAC 驗證來源與完整性。

OWASP

A08:2021 - Software and Data Integrity Failures

元数据

likelihoodLOW
impactLOW
confidenceMEDIUM

修复字段

fix无
fix-regex无

上游规则源

github.com/opengrep/opengrep-rules/tree/main/go/jwt-go/security/audit/jwt-parse-unverified.yaml