js-ts.jwt-decode-without-verify

返回列表 · CWE 索引

js-tsWARNING规则详情

各语言消息对照

语言消息
de

Das Dekodieren eines JWT-Tokens ohne Verifizierungsschritt wurde erkannt. JWT-Tokens müssen vor der Verwendung verifiziert werden, sonst ist ihre Integrität unbekannt. Ein Angreifer könnte dann ein JWT-Token mit beliebigen Claims fälschen. Rufen Sie '.verify()' auf, bevor Sie das Token verwenden.

en

Detected the decoding of a JWT token without a verify step. JWT tokens must be verified before use, otherwise the token's integrity is unknown. This means a malicious actor could forge a JWT token with any claims. Call '.verify()' before using the token.

fr

Le décodage d'un jeton JWT sans étape de vérification a été détecté. Un JWT doit être vérifié avant utilisation, sinon son intégrité est inconnue : un acteur malveillant peut forger un jeton avec les revendications de son choix. Appelez '.verify()' avant d'utiliser le jeton.

ja

検証なしで JWT トークンをデコードしていることが検出されました。JWT は使用前に必ず検証する必要があります。検証しない場合、トークンの完全性は不明のままであり、悪意のある人物が任意のクレームを含むトークンを偽造できてしまいます。トークンを使用する前に '.verify()' を呼び出してください。

ko

JWT 토큰을 검증 없이 디코딩하는 것이 감지되었습니다. JWT는 사용 전에 반드시 검증해야 하며, 그렇지 않으면 토큰 무결성을 알 수 없어 악의적인 사용자가 임의 클레임을 담은 토큰을 위조할 수 있습니다. 토큰을 사용하기 전에 '.verify()'를 호출하십시오.

ru

Обнаружено декодирование JWT-токена без проверки. Токен JWT необходимо проверять перед использованием, иначе его целостность неизвестна и злоумышленник может подделать токен с любыми утверждениями. Вызовите '.verify()' перед использованием токена.

zh

检测到解码 JWT 令牌但未做校验。JWT 使用前必须校验,否则令牌完整性未知,恶意者可伪造带任意声明的令牌。请在使用令牌前调用 '.verify()'。

zh-Hant

檢測到解碼 JWT 令牌但未做驗證。JWT 使用前必須驗證,否則令牌完整性未知,惡意者可偽造帶任意宣告的令牌。請在使用令牌前呼叫 '.verify()'。

CWE 知识卡

语言名称修复建议
deUnzureichende Prüfung der DatenauthentizitätPrüfen Sie Herkunft und Integrität kritischer Daten per Signatur oder HMAC.
en——
frVérification insuffisante de l'authenticité des donnéesVérifiez l'origine et l'intégrité des données critiques par signature ou HMAC.
jaデータ真正性の検証不足重要なデータは署名または HMAC で出所と整合性を検証してください。
ko데이터 진위성 검증 부족핵심 데이터에 대해 서명 또는 HMAC으로 출처와 무결성을 검증하십시오.
ruНедостаточная проверка подлинности данныхКлючевые данные проверяйте на источник и целостность подписью или HMAC.
zh数据真实性校验不足对关键数据用签名或 HMAC 校验来源与完整性。
zh-Hant資料真實性驗證不足對關鍵資料用簽名或 HMAC 驗證來源與完整性。

OWASP

A08:2021 - Software and Data Integrity Failures

元数据

likelihoodLOW
impactLOW
confidenceLOW

修复字段

fix无
fix-regex无

上游规则源

github.com/opengrep/opengrep-rules/tree/main/javascript/jsonwebtoken/security/audit/jwt-decode-without-verify.yaml