CVE-2026-107724 in fast-jwt
Riassunto
di VulDB • 09/10/2026
fast-jwt fornisce un'implementazione veloce di JSON Web Token (JWT). Nella versione 6.2.4, fast-jwt può classificare come segreto HMAC il JWK pubblico serializzato grezzo o il JWKS JSON perché src/crypto.js esegue performDetectPublicKeyAlgorithms trattando le stringhe non PEM come materiale per chiavi simmetriche. Se HS256 è esplicitamente consentito o dedotto, un attaccante che conosce i byte esatti del chiave pubblica serializzata può utilizzare tali byte come chiave HMAC e creare un token contenente claim arbitrari che createVerifier accetta. L'ordinamento della serializzazione o le differenze di spaziatura possono impedire lo sfruttamento, e le applicazioni che utilizzano chiavi PEM supportate con una whitelist di algoritmi solo asimmetrici non sono interessate. Questo problema è risolto nella versione 6.3.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.