CVE-2020-26160
mediumPriorität · verfolgen · 41EPSS 0.022 · 82. PerzentilExploit · PoCDEEURUUSEPSS · bewertet 2026-10-27
jwt-go before 4.0.0-preview1 allows attackers to bypass intended access restrictions in situations with []string{} for m["aud"] (which is allowed by the specification). Because the type assertion fails, "" is the value of aud. This is a security problem if the JWT token is presented to a service that lacks its own audience check.
cvss
Technischer Schweregrad, 0–10. Eine Zeile je Quelle.
Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen⚠ Quellen uneinig · medium–high · 5–7.5
schwächen
Die CWE-Schwächeklassen, zu denen dies gehört.
Exploits (1)
Öffentlicher Proof-of-Concept- und Exploit-Code.
betroffene Produkte (19)
Betroffene Produkte und Versionsbereiche.
- Go github.com/dgrijalva/jwt-go0.0.0-20150717181359-44718f8a89b0 → 3.2.0osvUSpkg:golang/github.com/dgrijalva/jwt-go
- Go github.com/dgrijalva/jwt-go≥ 0.0.0-20150717181359-44718f8a89b0osvUSpkg:golang/github.com/dgrijalva/jwt-go
Advisories (3)
Hersteller- und Ökosystem-Meldungen dazu.
- WID-SEC-W-2022-0510IBM DB2: Mehrere SchwachstellenDeutsch2022-06-29csaf · cert_bundDE
Ein entfernter, anonymer, authentisierter oder lokaler Angreifer kann mehrere Schwachstellen in IBM DB2 ausnutzen, um Dateien zu manipulieren, Sicherheitsmaßnahmen zu umgehen, vertrauliche Informationen offenzulegen, einen Denial-of-Service-Zustand auszulösen, willkürlichen Code mit erhöhten Rechten auszuführen, Informationen falsch darzustellen und beliebigen Code auszuführen.
- GHSA-w73w-5m7g-f7qcAuthorization bypass in github.com/dgrijalva/jwt-go2021-05-18ghsa · osvUS
jwt-go allows attackers to bypass intended access restrictions in situations with `[]string{}` for `m["aud"]` (which is allowed by the specification). Because the type assertion fails, "" is the value of aud. This is a security problem if the JWT token is presented to a service that lacks its own audience check. There is no patch available and users of jwt-go are advised to migrate to [golang-jwt](https://github.com/golang-jwt/jwt) at version 3.2.1
- GO-2020-0017Authorization bypass in github.com/dgrijalva/jwt-go2021-04-14vendor · osvUS
If a JWT contains an audience claim with an array of strings, rather than a single string, and MapClaims.VerifyAudience is called with req set to false, then audience verification will be bypassed, allowing an invalid set of audiences to be provided.
auch bekannt als (7)
Weitere Namen und Kennungen dieser Entität.
- CNNVD-202009-1758cnnvd
- EUVD-2021-1212enisa_euvd
- BDU:2025-11266fstec_bdu
- GHSA-w73w-5m7g-f7qcenisa_euvd
- GHSA-w73w-5m7g-f7qcosv
- GO-2020-0017osv
- SNYK-GOLANG-GITHUBCOMDGRIJALVAJWTGO-596515osv
quellen
Welche Quellen diesen Datensatz belegen und wann.
Referenzen (17)
Externe Belege — Patches, Meldungen, Analysen.
- https://github.com/dgrijalva/jwt-go/pull/426cnnvd
- https://nvd.nist.gov/vuln/detail/CVE-2020-26160cnnvd
- https://packetstormsecurity.com/files/162699/Red-Hat-Security-Advisory-2021-2041-01.htmlcnnvd
- https://packetstormsecurity.com/files/163690/Red-Hat-Security-Advisory-2021-2438-01.htmlcnnvd
- https://packetstormsecurity.com/files/165292/Red-Hat-Security-Advisory-2021-5110-05.htmlcnnvd
- https://snyk.io/vuln/SNYK-GOLANG-GITHUBCOMDGRIJALVAJWTGO-596515cnnvd
- https://www.auscert.org.au/bulletins/ESB-2021.0692cnnvd
- https://www.auscert.org.au/bulletins/ESB-2021.0864cnnvd
Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.
Kostenloser Scan