CVE-2026-18500
Təsvir
@fastify/jwt, Fastify üçün JSON Web Token plaginidir. 10.2.2 versiyasından əvvəlki versiyalarda, request.jwtVerify({ key }) funksiyasına ötürülən hər sorğu üçün təsdiqləmə açarı, seçimlərin birləşdirilməsi zamanı qlobal açarın sonuncu tətbiq edilməsi səbəbindən plagiinin qlobal konfiqurasiya edilmiş sirri ilə səssiz şəkildə əvəz edilir. Fərqli avtorizasiya domenləri üçün fərqli açarlardan istifadə edən tətbiqlər (məsələn, ayrı-ayrı istifadəçi və admin açarları), buna görə də konkret başqa bir açar tələb edən marşrutda qlobal açarla imzalanmış tokeni qəbul edir. Bu, adi autentifikasiya olunmuş istifadəçiyə heç bir sirri bilmədən açar əsaslı etibar sərhədini aşmağa imkan verir. Problem @fastify/jwt 10.2.2 versiyasında düzəldilib və burada hər çağırış üçün təyin edilmiş açıra qlobal sirrdən daha üstünlük verilir. İstifadəçilər 10.2.2 versiyasına yüksəltmə etməlidirlər.
Necə düzəltmək olar
- fastify fastify\/jwt10.2.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| fastify fastify\/jwt | v < 10.2.2 | 10.2.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.