CVE-2026-107720 in fast-jwt
Riassunto
di VulDB • 09/10/2026
fast-jwt fornisce un'implementazione veloce di JSON Web Token (JWT). Prima della versione 6.3.1, la funzione createVerifier di fast-jwt accetta un JWT non firmato quando la chiave è una stringa vuota o null e gli algoritmi sono costituiti da una allowlist non vuota. Le chiavi sincrone falsy bypassano prepareKeyOrSecret; allowedAlgorithms rimane attivo, hasKey è false e la firma vuota evita il controllo di verifySignature. Un attaccante può quindi inviare un token contenente claim arbitrari senza possedere una chiave di firma, causando un bypass dell'autenticazione o dell'autorizzazione. I validatori dei claim vengono comunque eseguiti; le chiavi non vuote, le chiavi vuote senza algoritmi e il percorso del resolver delle chiavi asincrone non presentano questo comportamento. Il problema è stato risolto nella versione 6.3.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.