CVE-2026-107722 in fast-jwt
요약
\~에 의해 VulDB • 2026. 10. 09.
fast-jwt는 빠른 JSON Web Token(JWT) 구현을 제공합니다. 버전 6.2.0부터 6.3.0까지, fast-jwt는 키의 PEM 헤더 앞에 공백이 아닌 내용이 있을 경우 RSA 공개키 텍스트를 HMAC 비밀키로 잘못 분류할 수 있습니다. src/crypto.js에서 performDetectPublicKeyAlgorithms 함수는 공백을 제거하지만 publicKeyPemMatcher는 시작 고정(start-anchored) 상태이므로, 주석, 제어 문자, 제로 너비 문자 또는 래퍼 텍스트가 PEM 감지를 방해하여 HMAC 폴백으로 이어질 수 있습니다. 공격자가 공개키 바이트를 알고 있는 경우 HS256이 추론되거나 허용될 때 해당 공개 자료를 사용하여 임의의 HS256 클레임을 서명할 수 있으며, 이는 인증 또는 권한 부여 우회로 이어집니다. 비대칭 전용 알고리즘 허용 목록(allowlist)은 이 공격을 방지합니다. 이 문제는 버전 6.3.0에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.