SD-JWT JS : divulgations altérées ignorées silencieusement

Veille sécuritéFrontend

P3Élevée

Le décodeur SD-JWT peut ignorer silencieusement une divulgation altérée et renvoyer un ensemble réduit de revendications comme si le traitement avait réussi. La correction indiquée est dans `@sd-jwt/core` 0.20.0 ; aucune version corrigée du paquet autonome `@sd-jwt/decode` n’est identifiée dans les informations fournies.

IdentifiantCVE-2026-62374

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif0.20.0 pour @sd-jwt/core

Source : NVD — CVE-2026-62374

Analyse technique

Le rejet requis par la spécification SD-JWT n’est pas effectué pour certaines divulgations dont le condensat ne correspond pas, y compris lorsque les données contiennent des octets UTF-8 invalides. Une décision d’autorisation permissive lorsque certaines revendications sont absentes peut en être affectée.

Impact, versions et correctif

Événement datéLa fiche NVD a été publiée le 2026-10-29 à 17:18:10.143Z, dans la période demandée. La mise à jour ultérieure du 2026-10-30 n’est pas retenue comme événement de la période.

ImpactLa réduction silencieuse des revendications peut modifier une décision d’autorisation si l’application accorde l’accès en l’absence d’une revendication restrictive.

Versions affectéesVersion 0.19.0 et antérieures

Version corrigée0.20.0 pour @sd-jwt/core

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.1

Publication2026-10-29T17:18:10.143Z

Mise à jour2026-10-30T19:39:14.897Z

Action recommandée

Mettre à jour `@sd-jwt/core` vers la version 0.20.0 ou ultérieure et vérifier le traitement des revendications absentes dans les décisions d’autorisation.

Sources

NVD — CVE-2026-62374

Priorisation DFS : P3 · 1 source(s).