Alta

Holder can generate proof of ownership for credentials it does not control in vp-toolkit

Publicada: 06.03.2020
Actualizado: 11.10.2026 10:22

Impact

The verifyVerifiablePresentation() method check the cryptographic integrity of the Verifiable Presentation, but it does not check if the credentialSubject.id DID matches the signer of the VP proof.

The verifier is impacted by this vulnerability.

Patches

Patch will be available in version 0.2.2.

Workarounds

Compute the address out of the verifiablePresentation.proof.n.verificationMethod using getAddressFromPubKey() from crypt-util@0.1.5 and match it with the credentialSubject.id address from the credential.

References

Github issue

For more information

If you have any questions or comments about this advisory:

Discuss in the existing issue
Contact me

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Paquete de npm	vp-toolkit	< 0.2.2	0.2.2

Referencias

Puntuación CVSS -

Debilidad (CWE): -
Plataforma: npm
Paquete: vp-toolkit
Publicada: 06.03.2020
Actualizado: 11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-ff5x-w9wg-h275 - CC BY 4.0

Historial de vulnerabilidades: vp-toolkit

Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Entradas en total: 2
Primera → última: 03.2020 03.2020
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Alta 2

Divulgaciones por año

2020: 2
2021: 0
2022: 0
2023: 0
2024: 0
2025: 0
2026: 0

06.03.2020

Holder can (re)create authentic credentials after receiving a credential in vp-toolkit

Alta ghsa-p94w-42g3-f7h4 < 0.2.2 0.2.2
06.03.2020

Holder can generate proof of ownership for credentials it does not control in vp-toolkit esta entrada

Alta ghsa-ff5x-w9wg-h275 < 0.2.2 0.2.2

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación