CVE-2026-107720

fast-jwt sürətli JSON Web Token (JWT) tətbiqi təmin edir. 6.3.1 versiyasından əvvəl, fast-jwt createVerifier funksiyası, key boş sətir və ya null olduqda və algorithms qeyri-boş icazə siyahısı (allowlist) olduqda imzalanmamış JWT-ni qəbul edir. Yalançı (falsy) sinxron açarlar prepareKeyOrSecret funksiyasından yan keçir, allowedAlgorithms aktiv qalır, hasKey false olur və boş imza verifySignature mərhələsinə mane olmur. Buna görə də hücumçu imzalama açarına sahib olmadan ixtiyari iddialar (claims) ehtiva edən token göndərə bilər ki, bu da autentifikasiyadan və ya avtorizasiyadan yan keçmə ilə nəticələnir. İddia validatorları hələ də işləyir; qeyri-boş açarlar, alqoritmləri olmayan boş açar və asinxron açar həlledici (async key resolver) yolu bu davranışı nümayiş etdirmir. Bu problem 6.3.1 versiyasında düzəldilmişdir.