CVE-2026-107724

fast-jwt sürətli JSON Web Token (JWT) tətbiqi təmin edir. 6.2.4 versiyasında, src/crypto.js performDetectPublicKeyAlgorithms funksiyasının PEM olmayan sətirləri simmetrik açar materialı kimi qəbul etməsi səbəbindən, fast-jwt xam seriyalaşdırılmış açıq JWK və ya JWKS JSON-u HMAC sirri kimi təsnif edə bilər. Əgər HS256 açıq şəkildə icazə verilibsə və ya belə nəticəyə gəlinibsə, dəqiq seriyalaşdırılmış açıq-açar baytlarını bilən hücumçu həmin baytlardan HMAC açarı kimi istifadə edərək, createVerifier tərəfindən qəbul edilən ixtiyari iddialar ehtiva edən token yarada bilər. Seriyalaşdırma ardıcıllığı və ya boşluq fərqləri istismarın qarşısını ala bilər və yalnız asimmetrik alqoritmlərin ağ siyahısından istifadə edən proqramlar bu problemdən təsirlənmir. Bu problem 6.3.0 versiyasında düzəldilmişdir.