Doğrulamasız JWT (ARCH6126)

Anahtar ruby.security.jwt-no-validation · Önem error · Kategori security · CWE CWE-347

JWT’yi imza doğrulaması olmadan çözmek (verify: false veya none algoritması), saldırganların talepleri sahteleyebilmesine olanak tanır. Her zaman imzayı ve algoritmayı doğrulayın.

Hatalı

require "jwt"

payload, = JWT.decode(token, nil, false)
user_id = payload["sub"]

Doğru

require "jwt"

secret = ENV.fetch("JWT_SIGNING_KEY")
payload, = JWT.decode(token, secret, true, algorithm: "HS256")
user_id = payload["sub"]

Düzeltme

JWT.decode’u verify = true ve açık bir algorithm ile çağırın; imzayı asla atlamayın.