CVE-2026-29000 – Contournement de l'authentification JWT pac4j (PoC Python)

Preuve de concept Python pour CVE-2026-29000, un contournement critique de l'authentification affectant les applications utilisant le module JWT pac4j.

La vulnérabilité permet aux attaquants de s'authentifier en tant qu'utilisateurs arbitraires en envoyant un jeton JWE malveillant contenant un PlainJWT non signé (alg: none).

🧠 Présentation de la vulnérabilité

Les applications pac4j peuvent utiliser le flux de jetons suivant :

1. L'utilisateur s'authentifie via /api/auth/login
2. Le serveur renvoie un JWT chiffré (JWE)
3. Le client envoie le jeton comme jeton Bearer
4. Le serveur déchiffre le JWE et vérifie la signature du JWT interne

En raison d'une gestion incorrecte de la logique d'analyse du JWT, lorsque le jeton interne est un PlainJWT (jeton non signé) :

• toSignedJWT() renvoie null
• La vérification de la signature est ignorée
• Les revendications sont acceptées comme fiables

Cela permet à un attaquant de :

• forger des revendications arbitraires
• élever ses privilèges
• s'authentifier en tant qu'admin

⚠️ Impact

Un attaquant peut :

• S'authentifier en tant que n'importe quel utilisateur
• Attribuer des rôles arbitraires
• Accéder à des points de terminaison protégés
• Obtenir une élévation complète des privilèges

Aucune clé privée n'est requise — seule la clé publique exposée via JWKS est nécessaire.

🧪 Preuve de concept

Ce dépôt fournit un PoC Python qui :

• Récupère la clé publique depuis un point de terminaison JWKS
• Crée un JWT non signé
• L'enveloppe dans un jeton JWE
• Génère un jeton Bearer malveillant

📦 Prérequis

Python 3.x

Installer les dépendances :

pip install jwcrypto requests

🚀 Utilisation

python3 poc.py \
--jwks http://target:8080/api/auth/jwks \
--user admin \
--role ROLE_ADMIN

Exemple de sortie :

=== Jeton JWE malveillant ===

eyJhbGciOiJSU0EtT0FFUC0yNTYiLCJlbmMiOiJBMTI4R0NNIiwiY3R5IjoiSldUIn0...

Utilisez-le comme suit :

Authorization: Bearer <TOKEN>

⚠️ Avertissement

Ce dépôt est fourni uniquement à des fins éducatives et de recherche. N'utilisez pas ce code contre des systèmes sans autorisation appropriée.

👨‍💻 Auteur

Ali Hussainzada Chercheur en sécurité applicative | Chasseur de bugs