CVE-2026-107724 in fast-jwt
Resumen
por VulDB • 2026-10-09
fast-jwt proporciona una implementación rápida de JSON Web Token (JWT). En la versión 6.2.4, fast-jwt puede clasificar un JWK público serializado en bruto o JWKS JSON como secreto HMAC porque `src/crypto.js` realiza el método `performDetectPublicKeyAlgorithms`, que trata las cadenas no PEM como material de clave simétrica. Si HS256 está explícitamente permitido o se infiere, un atacante que conozca los bytes exactos del JWK público serializado puede utilizar esos bytes como una clave HMAC y crear un token que contenga afirmaciones arbitrarias que `createVerifier` acepta. El orden de serialización o las diferencias en el espaciado pueden impedir la explotación, y las aplicaciones que utilizan claves PEM compatibles con una lista blanca de algoritmos solo asimétricos no se ven afectadas. Este problema está resuelto en la versión 6.3.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.