Omisión Silenciosa de Divulgaciones Manipuladas en SD JWT JS (CVE-2026-62374)

Se ha identificado una vulnerabilidad de manejo incorrecto de codificación Unicode y de condiciones inusuales (clasificada como CWE-176 y CWE-754) en SD JWT JS, una implementación en JavaScript de la especificación Selective Disclosure JWT (SD-JWT) de la OpenWallet Foundation. En las versiones afectadas, los paquetes @sd-jwt/decode (utilizado también por @sd-jwt/core) descartan silenciosamente en lugar de rechazar una divulgación (Disclosure) manipulada cuyo resumen (digest) ya no coincide con la matriz _sd firmada por el emisor.

Esto incluye tanto divulgaciones manipuladas pero que siguen siendo JSON válido como divulgaciones que contienen bytes UTF-8 inválidos (donde la ruta de decodificación sustituye caracteres de reemplazo U+FFFD recuperando datos sintácticamente válidos). Esto viola las especificaciones de la RFC 9901 (secciones 7.1 y 4.2.1).

Vector de Ataque: Remoto vía red; un poseedor malintencionado o un atacante en la ruta (on-path) puede manipular o inyectar divulgaciones cuando la parte que confía (relying party) no exige un enlace de clave estricto (key binding).

Impacto: Confidencialidad e integridad moderadas a altas. Permite la reducción silenciosa de reclamaciones (silent claim reduction), lo que puede alterar de forma maliciosa una decisión de autorización (por ejemplo, omitiendo restricciones de edad o rol) sin arrojar errores, manteniendo válida la firma general del emisor del JWT.

Parches y Actualizaciones: actualizar inmediatamente el paquete @sd-jwt/core a la versión 0.20.0 o superior.

Mitigaciones Temporales: hacer cumplir estrictamente el enlace de claves (key binding enforcement mediante SDJwtInstance.verify()) en la validación de tokens para rechazar manipulaciones de ruta.

Buenas Prácticas: revisar la lógica de autorización en las aplicaciones dependientes para asegurar que la ausencia de reclamaciones de restricción obligatorias no derive en una concesión de acceso por defecto.

https://nvd.nist.gov/vuln/detail/cve-2026-62374