CVE-2026-107724
Açıklama
fast-jwt, hızlı bir JSON Web Token (JWT) uygulaması sağlar. 6.2.4 sürümünde fast-jwt, src/crypto.js performDetectPublicKeyAlgorithms fonksiyonunun PEM olmayan dizgeleri simetrik anahtar materyali olarak değerlendirmesi nedeniyle, ham serileştirilmiş genel JWK veya JWKS JSON verilerini bir HMAC sırrı olarak sınıflandırabilir. Eğer HS256 açıkça izin verilmişse veya çıkarılabiliyorsa, tam serileştirilmiş genel anahtar baytlarını bilen bir saldırgan, bu baytları bir HMAC anahtarı olarak kullanabilir ve createVerifier tarafından kabul edilen rastgele iddialar içeren bir belirteç oluşturabilir. Serileştirme sıralaması veya boşluk farkları istismarı önleyebilir ve yalnızca asimetrik algoritmaların yer aldığı bir izin listesiyle desteklenen PEM anahtarlarını kullanan uygulamalar etkilenmez. Bu sorun 6.3.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- fast-jwt6.3.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| fast-jwtnpm | 6.2.4 ≤ v < 6.3.0 | 6.3.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.