一、 漏洞 CVE-2025-68925 基础信息
漏洞信息
# Jervis JWT算法混淆漏洞
## 概述
Jervis库在2.2版本之前未验证JWT头部的算法类型，存在安全漏洞。
## 影响版本
影响版本：低于2.2的版本。
## 细节
该漏洞存在于Jervis库中，用于Job DSL插件脚本和共享Jenkins流水线库。在版本2.2之前，代码未验证JWT头部是否明确指定 `"alg": "RS256"`，攻击者可能利用此问题篡改JWT使用的签名算法（如切换为`"alg": "none"`或对称算法），从而绕过身份验证机制。
## 影响
未正确验证JWT算法可能导致身份验证绕过，造成未经授权的访问或恶意操作。
神龙判断
是否为 Web 类漏洞： 未知
判断理由：
N/A
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
Jervis has a JWT Algorithm Confusion Vulnerability
来源：美国国家漏洞数据库 NVD
漏洞描述信息
Jervis is a library for Job DSL plugin scripts and shared Jenkins pipeline libraries. Prior to 2.2, the code doesn't validate that the JWT header specifies "alg":"RS256". This vulnerability is fixed in 2.2.
来源：美国国家漏洞数据库 NVD
CVSS信息
N/A
来源：美国国家漏洞数据库 NVD
漏洞类别
密码学签名的验证不恰当
来源：美国国家漏洞数据库 NVD
漏洞标题
Jervis 数据伪造问题漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
Jervis是Sam Gleske个人开发者的一个自动化工具。 Jervis 2.2之前版本存在数据伪造问题漏洞，该漏洞源于未验证JWT头中的alg字段，可能导致安全绕过。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
授权问题
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2025-68925 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
三、漏洞 CVE-2025-68925 的情报信息
标题： JWT Algorithm Confusion Vulnerability · Advisory · samrocketman/jervis · GitHub -- 🔗来源链接
标签：x_refsource_CONFIRM
神龙速读：```md ### 关键信息 - **漏洞名称**: JWT Algorithm Confusion Vulnerability - **漏洞描述**: 代码没有验证JWT头部是否指定了`"alg":"RS256"`, 可能允许JWT伪造。 - **影响**: 在更广泛的系统中，这可以允许JWT伪造。鉴于JWT仅用于与 GitHub 交互，其内部严重性较低。外部用户应考虑中等严重程度。 - **CVE ID**: CVE-2025-68925 - **影响范围**: 受影响的版本：`< 2.2`，已修复版本：`2.2` - **严重性**: 中等 - **补丁**: Jervis 补丁将明确验证头部的算法是否符合预期，并进一步验证 JWT 结构。建议升级到 Jervis 2.2。 - **变通方法**: 外部用户应考虑使用替代的JWT库或升级。 - **参考文献**: [RFC 7518: JSON Web Algorithms](<RFC7518:JSONWebAlgorithms>) ```
标题： Merge branch 'advisory-fix-1' · samrocketman/jervis@c3981ff · GitHub -- 🔗来源链接
标签：x_refsource_MISC
- https://nvd.nist.gov/vuln/detail/CVE-2025-68925
四、漏洞 CVE-2025-68925 的评论
暂无评论