CVE-2026-107720 in fast-jwt
Zusammenfassung
von VulDB • 09.10.2026
fast-jwt bietet eine schnelle Implementierung von JSON Web Tokens (JWT). Vor Version 6.3.1 akzeptiert fast-jwts createVerifier ein unsigniertes JWT, wenn der Schlüssel eine leere Zeichenkette oder null ist und algorithms eine nicht-leere Allowlist ist. Falsy-synchrone Schlüssel umgehen prepareKeyOrSecret, allowedAlgorithms bleibt aktiv, hasKey ist falsch, und die leere Signatur umgeht das verifySignature-Gate. Ein Angreifer kann daher ein Token mit beliebigen Ansprüchen (Claims) einreichen, ohne über einen Signing-Key zu verfügen, was zu einem Umgehung der Authentifizierung oder Autorisierung führt. Claim-Validator werden weiterhin ausgeführt; nicht-leere Schlüssel, ein leerer Schlüssel ohne algorithms und der async key resolver-Pfad weisen dieses Verhalten nicht auf. Dieses Problem wurde in Version 6.3.1 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.