CVE-2026-107722

fast-jwt sürətli JSON Web Token (JWT) tətbiqi təmin edir. 6.2.0 versiyasından 6.3.0 versiyasına qədər olan dövrdə, açarın PEM başlığından əvvəl boşluq olmayan məzmunu olduqda, fast-jwt RSA açıq açar mətnini səhvən HMAC sirri kimi təsnif edə bilər. src/crypto.js faylında performDetectPublicKeyAlgorithms funksiyası boşluqları kəsir, lakin publicKeyPemMatcher start-anchored olaraq qalır, buna görə də şərhlər, idarəetmə simvolları, sıfır enli simvollar və ya örtük mətni PEM aşkarlanmasının qarşısını ala və HMAC fallback hissəsinə çata bilər. Açıq açar baytlarını bilən hücumçu, HS256 nəticələndirildikdə və ya icazə verildikdə həmin açıq materialla istənilən HS256 iddialarını imzalaya bilər ki, bu da autentifikasiyadan və ya avtorizasiyadan yan keçmə ilə nəticələnir. Yalnız asimmetrik alqoritmlərdən ibarət icazə siyahısı (allowlist) bu hücumun qarşısını alır. Bu problem 6.3.0 versiyasında düzəldilib.