Doğrulanmayan JWT (ARCH2126)

Anahtar python.security.jwt-no-validation · Önem error · Kategori security · CWE CWE-347

JWT’yi imza doğrulaması kapalı (verify_signature=False) çözmek, saldırganın talepleri serbestçe değiştirip token uydurmasına olanak tanır. Bu, kimlik doğrulamanın tamamen atlanması demektir.

Hatalı

import jwt

claims = jwt.decode(token, options={"verify_signature": False})
user_id = claims["sub"]

Doğru

import jwt

claims = jwt.decode(token, key, algorithms=["RS256"],
                    audience="api", options={"require": ["exp", "sub"]})
user_id = claims["sub"]

Düzeltme

JWT’leri her zaman imza, algoritma ve gerekli taleplerle doğrulayın; verify_signature=False kullanmayın.