CVE-2026-107721

fast-jwt, hızlı bir JSON Web Token (JWT) uygulaması sağlar. 6.3.0 sürümünden önce, fast-jwt createVerifier fonksiyonu, seçenek doğrulaması yalnızca türü ve negatifliği kontrol edip sonluluğu kontrol etmediği için clockTolerance değeri olarak Infinity kabul etmektedir. validateClaimDateValue içerisinde, sonsuz pozitif ve negatif değiştiriciler exp ve nbf karşılaştırmalarının her zaman başarılı olmasına neden olarak süresi dolmuş veya henüz aktif olmamış token'ların kabul edilmesine izin verir. Doğrulayıcı önbelleği de sonsuz sınırlar türettiğinden, bu yapılandırma altında oluşturulan girdiler tahliye edilene kadar geçerli kalabilir. İstismar edilmesi için bir uygulama yöneticisinin veya eşdeğer bir yapılandırma yolunun clockTolerance değerini Infinity olarak ayarlaması gerekir. Bu sorun 6.3.0 sürümünde düzeltilmiştir.