CVE-2025-30144

fast-jwt, hızlı bir JSON Web Token (JWT) uygulaması sağlar. 5.0.6 sürümünden önce, fast-jwt kütüphanesi iss talebini RFC 7519'a göre uygun şekilde doğrulamamaktadır. fast-jwt kütüphanesindeki iss (yayıncı) talebi doğrulaması, geçerli bir iss değeri olarak dize dizilerine izin vermektedir. Bu tasarım kusuru, kötü niyetli bir aktörün iss talebi ['https://attacker-domain/', 'https://valid-iss'] şeklinde yapılandırılmış bir JWT oluşturabileceği potansiyel bir saldırıya olanak tanır. Esnek doğrulama nedeniyle, JWT geçerli kabul edilecektir. Ayrıca, uygulama iss talebini bağımsız olarak doğrulamayan get-jwks gibi harici kütüphanelere güveniyorsa, saldırgan bu zafiyeti kullanarak mağdur uygulama tarafından kabul edilecek sahte bir JWT oluşturabilir. Temelde saldırgan, meşru yayıncının yanına kendi alan adını iss dizisine ekleyebilir ve amaçlanan güvenlik kontrollerini atlatabilir. Bu sorun 5.0.6 sürümünde düzeltilmiştir.