CVE-2026-107722 in fast-jwt
Zusammenfassung
von VulDB • 08.10.2026
fast-jwt bietet eine schnelle Implementierung von JSON Web Tokens (JWT). Von Version 6.2.0 bis 6.3.0 kann fast-jwt RSA-Public-Key-Text fälschlicherweise als HMAC-Secret klassifizieren, wenn der Schlüssel nicht-leerzeichenhaltigen Inhalt vor seinem PEM-Header enthält. In src/crypto.js trimmt performDetectPublicKeyAlgorithms Leerzeichen, aber publicKeyPemMatcher bleibt am Anfang verankert (start-anchored), sodass Kommentare, Steuerzeichen, Null-Breiten-Zeichen oder Wrapper-Text die PEM-Erkennung verhindern und zum HMAC-Fallback führen können. Ein Angreifer, der die Bytes des öffentlichen Schlüssels kennt, kann beliebige HS256-Ansprüche mit diesem öffentlichen Material signieren, wenn HS256 abgeleitet oder erlaubt ist, was zu einer Umgehung der Authentifizierung oder Autorisierung führt. Eine Allowlist für ausschließlich asymmetrische Algorithmen verhindert den Angriff. Dieses Problem wurde in Version 6.3.0 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.