CVE-2026-107724 in fast-jwt
الملخص
بحسب VulDB • 09/10/2026
يوفر fast-jwt تنفيذًا سريعًا لرموز JSON Web Token (JWT). في الإصدار 6.2.4، يمكن لـ fast-jwt تصنيف بيانات JWK أو JWKS العامة المشفرة الخام على أنها سر HMAC لأن الدالة src/crypto.js performDetectPublicKeyAlgorithms تعامل السلاسل غير بصيغة PEM كمادة مفتاح متماثل. إذا كان خوارزمية HS256 مسموحًا بها صراحةً أو مُستنتجة، يمكن لمهاجم يعرف البايتات المشفرة الدقيقة للمفتاح العام استخدام هذه البايتات كمفتاح HMAC وإنشاء رمز يحتوي على مطالبات (claims) عشوائية يقبلها دالة createVerifier. قد تمنع اختلافات ترتيب التسلسل أو المسافات البيضاء استغلال الثغرة، والتطبيقات التي تستخدم مفاتيح PEM المدعومة مع قائمة مسموح بها لخوارزميات غير متماثلة فقط ليست متأثرة. تم إصلاح هذه المشكلة في الإصدار 6.3.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.