Уязвимости JWT.

Классы ошибок в реализации проверки JSON Web Token, позволяющие подделывать токены, повышать привилегии или обходить аутентификацию. Относится к категории Безопасность приложений в кибербезопасности.

Классы ошибок в реализации проверки JSON Web Token, позволяющие подделывать токены, повышать привилегии или обходить аутентификацию.

JSON Web Token широко применяются для аутентификации и авторизации API, однако гибкость подписи породила ряд повторяющихся классов уязвимостей. Классический баг alg=none возникает, когда верификатор принимает неподписанный токен. Слабые секреты HS256 поддаются офлайн-перебору и позволяют выпускать любые токены. Путаница ключей (key confusion) случается, когда сервер проверяет HS256-токен, используя публичный RSA-ключ как HMAC-секрет. Другие проблемы: отсутствие проверки подписи, приём просроченных токенов, инъекции в kid (path traversal, SQLi) и атаки через jwk/jku. Меры защиты: жёстко фиксировать алгоритм на сервере, использовать стойкие асимметричные ключи, валидировать kid по списку разрешений и считать JWT недоверенным вводом.

Защита от Уязвимости JWT обычно сочетает технические меры и операционные практики, как описано в определении выше.