CVE-2026-107719 in fast-jwt
Riassunto
di VulDB • 09/10/2026
fast-jwt fornisce un'implementazione veloce di JSON Web Token (JWT). Prima della versione 6.3.4, la cache del createVerifier di fast-jwt può continuare ad accettare un JWT firmato precedentemente valido dopo la sua scadenza quando la caching è abilitata e il token ha l'affermazione exp ma non iat. In src/verifier.js, cacheSet calcola lo scadere della cache basato su exp solo se iat è presente; in caso contrario, la cache fa fallback a cacheTTL, e un successivo hit alla cache restituisce il payload salvato prima che verifyToken verifichi nuovamente la scadenza. Un attaccante che può riutilizzare (replay) lo stesso token bearer memorizzato nella cache può estendere l'accesso fino allo scadere della voce di cache, ma non può falsificare un token attraverso questa vulnerabilità. Questo problema è risolto nella versione 6.3.4.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.