CVE-2026-107275
Açıklama
@fastify/jwt, Fastify web çerçevesi için bir JSON Web Token eklentisidir. 10.2.3 öncesindeki sürümlerde; bileşik zaman aralığı, ay birimi, ISO 8601 süresi, ondalık virgül veya çevresinde boşluk bulunan değerler gibi eklentinin ayrıştırıcısının okuyamadığı ve expiresIn, notBefore veya maxAge parametrelerine iletilen zaman aralıkları, reddedilmek yerine sessizce düşürülmektedir. İmzalama yolunda bu durum, hiçbir zaman sona ermeyen ve son kullanma tarihi talebi (expiration claim) bulunmayan bir jeton üretilmesine neden olur; doğrulama yolunda ise yapılandırılmış maxAge uygulanmamaya başlar, böylece süresi dolduğu için reddedilmesi gereken bir jeton kabul edilir. Sorun @fastify/jwt 10.2.3 sürümünde düzeltilmiştir ve kullanıcıların 10.2.3 veya daha yeni bir sürüme yükseltmeleri önerilir. Geçici bir çözüm olarak, bu seçenekleri saniye cinsinden sayı olarak iletin veya herhangi bir zaman aralığı dizesine güvenmeden önce bunun sonlu bir değere ayrıştırıldığını doğrulayın.
Nasıl düzeltilir
- @fastify/jwt @fastify/jwt10.2.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| @fastify/jwt @fastify/jwt | v < 10.2.3 | 10.2.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.