CVE-2026-107724 in fast-jwt
Sumário
de VulDB • 09/10/2026
O fast-jwt fornece uma implementação rápida de JSON Web Token (JWT). Na versão 6.2.4, o fast-jwt pode classificar um JWK público serializado bruto ou JWKS JSON como segredo HMAC porque src/crypto.js realiza a detecção dos algoritmos das chaves públicas e trata strings não-PEM como material de chave simétrica. Se HS256 estiver explicitamente permitido ou inferido, um atacante que conheça os bytes exatos da chave pública serializada pode usar esses bytes como uma chave HMAC e criar um token contendo claims arbitrários que o createVerifier aceita. Diferenças na ordem de serialização ou nos espaços em branco podem impedir a exploração, e as aplicações que utilizam chaves PEM suportadas com uma lista permitida (allowlist) de algoritmos apenas assimétricos não são afetadas. Este problema foi corrigido na versão 6.3.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.