CVE-2026-107722
Açıklama
fast-jwt, hızlı bir JSON Web Token (JWT) uygulaması sağlar. 6.2.0 ile 6.3.0 sürümleri arasında fast-jwt, anahtarın PEM başlığından önce boşluk dışı içerik barındırdığı durumlarda, RSA genel anahtar metnini yanlışlıkla bir HMAC sırrı olarak sınıflandırabilir. src/crypto.js dosyasında, performDetectPublicKeyAlgorithms boşlukları temizler ancak publicKeyPemMatcher başlangıçla sabitlenmiş kalır; bu nedenle yorumlar, kontrol karakterleri, sıfır genişlikli karakterler veya sarmalayıcı metinler PEM tespitini engelleyerek HMAC geri dönüşüne yol açabilir. Genel anahtar baytlarını bilen bir saldırgan, HS256 çıkarıldığında veya izin verildiğinde, söz konusu genel anahtar materyali ile rastgele HS256 iddialarını imzalayabilir ve bu durum kimlik doğrulama veya yetkilendirme atlatılmasıyla sonuçlanır. Yalnızca asimetrik algoritmalara izin veren bir beyaz liste bu saldırıyı önler. Bu sorun 6.3.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- fast-jwt6.3.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| fast-jwtnpm | 6.2.0 ≤ v < 6.3.0 | 6.3.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.