SD-JWT の JavaScript 実装 @sd-jwt/decode / @sd-jwt/core に、改ざんされた Disclosure を拒否せず黙って捨ててしまう問題が見つかり、高の勧告が出ました。検証側が受け取るクレームが知らないうちに減るため、@sd-jwt/core を 0.20.0 以降に更新してください。

改ざんされた Disclosure がエラーにならず捨てられ、検証結果のクレームが減る

やること　@sd-jwt/core を 0.20.0 以降に更新してください。すぐ更新できない場合は、制約を表すクレームが存在しないときに許可するのではなく拒否する判定にし、鍵バインディング（KB-JWT）を必須にすることで経路上での改ざんは防げます。