CVE-2026-29000 – Bypass de Autenticación JWT en pac4j (PoC en Python)

Prueba de concepto en Python para CVE‑2026‑29000, un bypass de autenticación crítico que afecta a aplicaciones que utilizan el módulo JWT de pac4j.

La vulnerabilidad permite a los atacantes autenticarse como usuarios arbitrarios enviando un token JWE malicioso que contiene un PlainJWT sin firmar (alg: none).

🧠 Resumen de la Vulnerabilidad

Las aplicaciones pac4j pueden utilizar el siguiente flujo de tokens:

1. El usuario se autentica a través de /api/auth/login
2. El servidor devuelve un JWT cifrado (JWE)
3. El cliente envía el token como un token Bearer
4. El servidor descifra el JWE y verifica la firma del JWT interno

Debido al manejo incorrecto de la lógica de análisis del JWT, cuando el token interno es un PlainJWT (token sin firmar):

• toSignedJWT() devuelve null
• La verificación de la firma se omite
• Los claims se aceptan como confiables

Esto permite a un atacante:

• forjar claims arbitrarios
• escalar privilegios
• autenticarse como admin

⚠️ Impacto

Un atacante puede:

• Autenticarse como cualquier usuario
• Asignar roles arbitrarios
• Acceder a endpoints protegidos
• Lograr una escalada completa de privilegios

No se requiere clave privada — solo la clave pública expuesta a través de JWKS.

🧪 Prueba de Concepto

Este repositorio proporciona un PoC en Python que:

• Obtiene la clave pública de un endpoint JWKS
• Crea un JWT sin firmar
• Lo envuelve dentro de un token JWE
• Genera un token Bearer malicioso

📦 Requisitos

Python 3.x

Instalar dependencias:

pip install jwcrypto requests

🚀 Uso

python3 poc.py \
--jwks http://target:8080/api/auth/jwks \
--user admin \
--role ROLE_ADMIN

Ejemplo de salida:

=== Malicious JWE Token ===

eyJhbGciOiJSU0EtT0FFUC0yNTYiLCJlbmMiOiJBMTI4R0NNIiwiY3R5IjoiSldUIn0...

Úsalo como:

Authorization: Bearer <TOKEN>

⚠️ Aviso Legal

Este repositorio se proporciona solo con fines educativos y de investigación. No utilices este código contra sistemas sin la autorización adecuada.

👨‍💻 Autor

Ali Hussainzada Investigador de Seguridad de Aplicaciones | Bug Hunter