PRIMARY-SOURCE REVIEW · 2026-11-03T16:20:00+09:00

SD-JWT：改変Disclosureの黙示的な除外と認可条件

CVE-2026-62374では、不一致のDisclosureを拒否せず除外して成功扱いにする。署名が正しくても属性が減り、属性不在時に許可する実装で認可判断に影響する。key bindingを必須にすると経路上の改変は拒否されるが、holder自身による改変は別条件として残る。

確認すること

@sd-jwt/coreは0.19.0以下が対象、最初の修正版は0.20.0。@sd-jwt/decodeは0.19.0以下が対象だが修正版欄は未記載。必要属性の欠落を拒否し、実際に使用する依存版を個別に確認する。

修正版は勧告の記載がある場合だけ示します。勧告数は被害件数ではありません。

勧告別：対象バージョンと修正版（1件）

SD JWT JS: Tampered disclosures silently dropped instead of rejected