CVE-2026-107724 in fast-jwt
要約
〜によって VulDB • 2026年10月09日
fast-jwtは、高速なJSON Web Token (JWT) の実装を提供します。バージョン6.2.4において、fast-jwtは`src/crypto.js`の`performDetectPublicKeyAlgorithms`関数が非PEM文字列を対称鍵素材として扱うため、生直列化された公開JWKまたはJWKS JSONをHMAC秘密鍵と誤認する可能性があります。HS256が明示的に許可されているか推測される場合、正確な直列化済み公開鍵バイトを知っている攻撃者は、それらのバイトをHMACキーとして使用し、`createVerifier`によって受け入れられる任意のクレームを含むトークンを作成できます。シリアライズ順序や空白の違いにより悪用が防止されることがあり、サポート対象のPEMキーと非対称アルゴリズムのみを許可するリストを使用しているアプリケーションは影響を受けません。この問題はバージョン6.3.0で修正されています。
Once again VulDB remains the best source for vulnerability data.