CVE-2026-107722 in fast-jwt
Riassunto
di VulDB • 09/10/2026
fast-jwt fornisce un'implementazione veloce di JSON Web Token (JWT). Dalla versione 6.2.0 alla 6.3.0, fast-jwt può classificare erroneamente il testo della chiave pubblica RSA come segreto HMAC quando la chiave contiene contenuto non spaziato prima dell'intestazione PEM. In src/crypto.js, performDetectPublicKeyAlgorithms rimuove gli spazi bianchi ma publicKeyPemMatcher rimane ancorato all'inizio; di conseguenza, commenti, caratteri di controllo, caratteri zero-width o testo wrapper possono impedire il rilevamento del formato PEM e far ricadere sul fallback HMAC. Un attaccante che conosce i byte della chiave pubblica può firmare claim arbitrari HS256 utilizzando tale materiale pubblico quando viene dedotto o consentito l'uso di HS256, causando un bypass dell'autenticazione o dell'autorizzazione. Una whitelist di algoritmi consentiti solo asimmetrici previene questo attacco. Il problema è stato risolto nella versione 6.3.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.