في العديد من تطبيقات الويب تستخدم JWT لتوثيق المستخدمين والتحكم في الوصولداخل النظام رغم أن JWT تعتمد على توقيع رقمي لضمان سلامة البيانات إلا أنمستوى الأمان يعتمد بشكل كامل على كيفية تنفيذ النظام للتوقيع وتخزين المفاتيح الخاصة بالمستخدمينفي هذا النوع من الثغرات يكمن الخلل في استخدام مفتاح توقيع سري متماثل ضعيف أو قابل للتخمينوهذا يفتح المجال أمام المهاجم لتزوير الرمز وتجاوز المصادقة وصولًا إلى صلاحيات حسابات اخرى.وتكون مراحل الاستغلال في التالي : يحصل المهاجم على نسخة من رمز JWT المستخدم في التطبيقغالبا من خلال تسجيل الدخول كمستخدم عادي واعتراض الطلبات.يتم بعد ذلك فك تشفير الرمز عادة ما يكون من ثلاثة أجزاء:(Header, Payload, Signature) لمعرفةنوع الخوارزمية المستخدمة لتشفير المفاتيح و استخدم أدوات مثل Hashcat وقوائم كلمات مرور شائعةوايضا بعض مواقع الويب الخاص بكسر خوارزميات التشفير بعد كسر المفتاح يقوم المهاجم بإنشاء رمز JWTجديد يعدل فيه الحقول مثل تغيير sub إلى administrator ثم يوقع الرمز باستخدام نفس المفتاح الذي تم اكتشافه.يرسل هذا الرمز المعدل مع طلب HTTP إلى نقطة النهاية الحساسة مثل لوحة إدارة الموقع وغالبا ما يتم منحه صلاحياتكاملة اذا كان استغلال الثغرة بشكل صحيح.