home / blog
2026-10-30 · critica
CVE-2026-29000: bypass autenticazione in pac4j-jwt
Bypass autenticazione in pac4j-jwt <4.5.9, <5.7.9, <6.3.3 via JWE-wrapped PlainJWT. CVSS 9,1.
CVE-2026-29000 identifica una vulnerabilità di bypass autenticazione nel componente JwtAuthenticator di pac4j-jwt, libreria diffusa per gestione di JWT in applicazioni Java. La falla affetta versioni precedenti a 4.5.9, 5.7.9 e 6.3.3. Attori remoti che possiedono la chiave pubblica RSA del server (dato spesso pubblicamente esposto) possono costruire JWE-wrapped PlainJWT con claim di soggetto e ruolo arbitrari, bypassando i controlli di firma e autenticandosi come amministratori senza credenziali valide.
La vulnerabilità ha punteggio CVSS 9,1 in categoria critical. È stata pubblicata su NVD il 2026-03-04 e continua a ricevere attenzione: il 2026-10-30 (oggi) repository pubblici hanno dichiarato disponibilità di proof-of-concept educativo per il bypass firma su JWE-wrapped JWT specificamente per pac4j-jwt. Patch ufficiali sono disponibili da mesi, ma l'assenza di aggiornamento sistematico resta elevata in molti ambienti legacy.
Per i difensori, la priorità immediata è identificare tutte le istanze di pac4j-jwt in uso e verificarne la versione. Aggiornare subito a 4.5.9, 5.7.9 o 6.3.3. In parallelo, audire i log di autenticazione dei mesi precedenti alla patch per rilevare token JWT con claim anomali o autenticazioni amministrative inspiegabili. Verificare che le chiavi pubbliche RSA non siano esposte in repository Git storici o configurazioni accessibili. Monitorare continuamente i log per pattern di JWT forgiati durante il rilascio della patch nei sistemi production, dove l'impatto è massimo.
In sintesi
- Cosa
- JwtAuthenticator in pac4j-jwt verifica incorrettamente le firme su JWE-wrapped PlainJWT, permettendo il forging di token con claim arbitrari per autenticazione amministrativa.
- Gravità
- CVSS 9,1 (critical). Accesso remoto senza credenziali valide, escalation privilegi a amministratore.
- Versioni interessate
- pac4j-jwt <4.5.9, <5.7.9, <6.3.3
- Correzione
- Aggiornare a versioni 4.5.9, 5.7.9, 6.3.3 o successive.
- Stato
- Pubblicato NVD 2026-03-04; PoC educativo pubblico dal 2026-10-30. Patch disponibili da settimane.
- Azione
- Verificare versioni pac4j-jwt in ambiente; aggiornare immediatamente; audire token JWT accettati precedentemente; monitorare log di autenticazione per anomalie.
Fonti: NVD, CVE-2026-29000