远程主机上安装的 Pac4J JWT 版本受到一个身份验证绕过漏洞的影响。

  - 处理加密的 JWT 时低于 4.5.9、 5.7.9和 6.3.3 的 pac4j-jwt 中的 JwtAuthenticator 包含一个身份验证绕过漏洞允许远程攻击者伪造身份验证标记。拥有服务器 RSA 公钥的攻击者可使用任意主题和角色声明创建 JWE 封装的 plainJWT绕过签名验证以包括管理员在内的任何用户的身份进行身份验证。 (CVE-2026-29000)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Pac4J JWT 4.x < 4.5.9 / 5.x < 5.7.9 / 6.x < 6.3.3 认证绕过

critical Nessus 插件 ID 303207

版本 1.1