pac4j-jwe-forge (CVE-2026-29000)

Proof-of-concept per CVE-2026-29000. Ha come bersaglio le versioni di pac4j-jwt precedenti alla 4.5.9, 5.7.9 e 6.3.3.

La vulnerabilità è semplice: la libreria accetta un PlainJWT (non firmato, alg=none) purché sia avvolto in un JWE valido. Poiché il server espone la sua chiave pubblica RSA tramite un endpoint JWKS, chiunque può cifrare un JWT arbitrario non firmato in un JWE di cui il server si fiderà — incluso uno con ROLE_ADMIN.

Come funziona

1. Recupera la chiave pubblica RSA dall'endpoint JWKS del bersaglio
2. Costruisci un JWT non firmato (alg=none) con le claim che vuoi
3. Cifralo con la chiave pubblica del server usando
4. Invia il JWE risultante come token Bearer

Il server lo decifra, si fida delle claim al suo interno e non verifica mai che il JWT interno non sia firmato.

Requisiti

Python 3.13+ con uv, oppure installa le dipendenze manualmente:

pip install jwcrypto requests

Utilizzo

[uv run / python3] CVE-2026-29000.py --url <base_url> --jwks <jwks_path> [options]

Obbligatori:

Opzionali:

Esempi:

python3 exploit.py --url http://10.10.11.x:8080 --jwks /api/auth/jwks

python3 exploit.py --url http://10.10.11.x:8080 --jwks /api/auth/jwks --user john --role ROLE_ADMIN

python3 exploit.py --url http://10.10.11.x:8080 --jwks /.well-known/jwks.json --enc A128GCM

Trovare l'endpoint JWKS

Non sempre ovvio. Buoni posti dove cercare:

• /robots.txt — spesso elenca percorsi riservati o interni
• /api/auth/jwks
• /.well-known/jwks.json
• /.well-known/openid-configuration

Trovare il giusto alg/enc

Se il token viene rifiutato, l'app potrebbe aspettarsi un algoritmo di cifratura specifico. Controlla /static/js/app.js per qualcosa come:

const JWE_ALG = "RSA-OAEP-256";
const JWE_ENC = "A128GCM";

Poi riesegui con --enc A128GCM.

Anche il metodo di memorizzazione del token di solito è lì dentro:

class TokenManager {
    static getToken() {
        return sessionStorage.getItem('auth_token');
    }
}

Se si tratta di sessionStorage, sostituisci il token direttamente in DevTools sotto Application > Session Storage.

Versioni interessate

• pac4j-jwt < 4.5.9
• pac4j-jwt < 5.7.9
• pac4j-jwt < 6.3.3

Corrette nelle versioni 4.5.9, 5.7.9 e 6.3.3.