CVE-2025-65945-poc

CVE-2025-65945: node-jws 署名バイパス これは、node-jws ライブラリにおける署名検証バイパスの概念実証です。このバグにより、サーバーがユーザー制御のデータから HMAC 秘密鍵を導出する場合、攻撃者は有効な JWT を偽造できます。 バグの内容 jws.createVerify 関数は、HMAC アルゴリズムを使用する際に秘密鍵が実際に提供されたことを検証しません。アプリが JWT 内の何か（kid ヘッダーなど）に基づいて秘密鍵を検索し、その検索が失敗した場合、空の秘密鍵に対して検証してしまう可能性があります。 攻撃者はこれを次のように悪用できます： 1...