CVE-2026-107723

fast-jwt, hızlı bir JSON Web Token (JWT) uygulaması sağlar. 6.3.0 sürümünden önce, fast-jwt createVerifier, yükü (payload) bir JSON dizisi olan geçerli imzalı bir JWT'yi kabul eder çünkü src/decoder.js yükün bir nesne olduğunu kontrol eder ancak dizileri reddetmez. Claim doğrulama döngüsü daha sonra adlandırılmış herhangi bir exp, nbf, iss, aud, sub, jti veya nonce özelliği bulamaz ve yapılandırılmış bu kontrolleri sessizce atlayarak diziyi başarıyla doğrulanmış bir yük olarak döndürür. Geçerli imzalı bir token üretebilen veya etkileyebilen bir saldırgan; son kullanma tarihi, yayıncı, hedef kitle, konu, iptal ve yeniden oynatma korumalarını atlayabilir. İsteğe bağlı requiredClaims seçeneği eksik claim'leri engelleyebilir ve imza doğrulamasının kendisi atlanmaz. Bu sorun 6.3.0 sürümünde düzeltilmiştir.