ruby ./exploit.rb 运行文件Cisco node-jose 开源库 0.11.0 之前版本中存在一个漏洞，可能允许未经身份验证的远程攻击者使用嵌入在令牌中的密钥重新签名令牌。该漏洞是由于 node-jose 遵循 JSON Web Signature (JWS) 标准处理 JSON Web Token (JWT) 所致。该标准规定，表示公钥的 JSON Web Key (JWK) 可以嵌入到 JWS 的头部中。此公钥随后被信任用于验证。攻击者可以通过移除原始签名、向头部添加新的公钥，然后使用与嵌入在该 JWS 头部中的公钥相关联的（攻击者拥有的）私钥对对象进行签名，从而伪造有效的 JWS 对象来利用此漏洞。（https://nvd.nist.gov/vuln/detail/CVE-2018-0114）。