CVE-2026-29000 – تجاوز مصادقة pac4j JWT (إثبات مفهوم بلغة بايثون)

إثبات مفهوم بلغة بايثون لثغرة CVE‑2026‑29000، وهي تجاوز مصادقة حرج يؤثر على التطبيقات التي تستخدم وحدة pac4j JWT.

تسمح الثغرة للمهاجمين بالمصادقة كمستخدمين عشوائيين عن طريق إرسال رمز JWE خبيث يحتوي على PlainJWT غير موقّع (alg: none).

🧠 نظرة عامة على الثغرة

قد تستخدم تطبيقات pac4j تدفق الرموز التالي:

1. يقوم المستخدم بالمصادقة عبر /api/auth/login
2. يعيد الخادم JWT مشفّر (JWE)
3. يرسل العميل الرمز كـ Bearer token
4. يقوم الخادم بفك تشفير JWE والتحقق من توقيع JWT الداخلي

بسبب المعالجة غير الصحيحة لمنطق تحليل JWT، عندما يكون الرمز الداخلي PlainJWT (رمز غير موقّع):

• تُرجع toSignedJWT() قيمة null
• يتم تخطي التحقق من التوقيع
• يتم قبول الادعاءات (Claims) كموثوقة

وهذا يسمح للمهاجم بـ:

• تزوير ادعاءات عشوائية
• تصعيد الصلاحيات
• المصادقة كـ مدير (admin)

⚠️ التأثير

يمكن للمهاجم:

• المصادقة كأي مستخدم
• تعيين أدوار عشوائية
• الوصول إلى نقاط النهاية المحمية
• تحقيق تصعيد كامل للصلاحيات

لا يلزم وجود مفتاح خاص — فقط المفتاح العام المكشوف عبر JWKS.

🧪 إثبات المفهوم

توفر هذه المستودعات إثبات مفهوم بلغة بايثون يقوم بـ:

• جلب المفتاح العام من نقطة نهاية JWKS
• إنشاء JWT غير موقّع
• تغليفه داخل رمز JWE
• توليد رمز Bearer خبيث

📦 المتطلبات

Python 3.x

قم بتثبيت التبعيات:

pip install jwcrypto requests

🚀 الاستخدام

python3 poc.py \
--jwks http://target:8080/api/auth/jwks \
--user admin \
--role ROLE_ADMIN

مثال على المخرجات:

=== Malicious JWE Token ===

eyJhbGciOiJSU0EtT0FFUC0yNTYiLCJlbmMiOiJBMTI4R0NNIiwiY3R5IjoiSldUIn0...

استخدمه كالتالي:

Authorization: Bearer <TOKEN>

⚠️ إخلاء مسؤولية

هذا المستودع مقدم لأغراض تعليمية وبحثية فقط. لا تستخدم هذا الكود ضد الأنظمة دون الحصول على إذن مناسب.

👨‍💻 المؤلف

Ali Hussainzada باحث في أمن التطبيقات | صائد ثغرات