一、漏洞详情

JsonWebToken是一个开源库，用于创建、签名和验证 JSON Web 令牌。

node-jsonwebtoken项目发布安全公告，修复了JsonWebToken中的一个远程代码执行漏洞（CVE-2022-23529）。JsonWebToken 8.5.1及之前版本中，由于jwt.verify()函数中存在不安全的输入验证漏洞，如果能够修改jwt.verify()函数的密钥检索参数（参考readme链接中的secretOrPublicKey参数），则可以利用该漏洞在主机上写入任意文件并远程执行任意代码。

建议受影响用户做好资产自查以及预防工作，以免遭受黑客攻击。

二、影响范围

JsonWebToken版本 <= 8.5.1

三、修复建议

目前该漏洞已经修复，受影响用户可及时升级到JsonWebToken 9.0.0版本。

下载链接：https://github.com/auth0/node-jsonwebtoken/tags