Critical vulnerabilities in JSON Web Token libraries

TL;DR: If you are using node-jsonwebtoken, pyjwt, namshi/jose, php-jwt or jsjwt with asymmetric keys (RS256, RS384, RS512, ES256, ES384, ES512) please update to the latest version. See jwt.io for more information on the vulnerable libraries. (Updated 2015-04-20) This is a guest post from Tim McLean, who is a member of the Auth0 Security Researcher Hall of Fame. Tim normally blogs at www.timmclean.

[inoueyuworks]

jwt の alg ヘッダ部分に含まれる、署名アルゴリズムの値を、検証のフェーズで利用してしまうと、 attacker が攻撃しうる。検証側は、検証するアルゴリズムをプログラム的に決め打つべきである。

[daikikohara]

なぜか今頃公式アカウントが呟いてたな…

[tmatsuu]

JSON Web Token(JWT)の一部実装（node-jsonwebtoken、pyjwt、namshi/jose、php-jwt）で公開鍵方式を使ってる場合に深刻な脆弱性。ライブラリのアップデートを