CVE-2026-18500
Açıklama
@fastify/jwt, Fastify için bir JSON Web Token eklentisidir. 10.2.2 öncesi sürümlerde, request.jwtVerify({ key }) çağrısına iletilen istek başına doğrulama anahtarı, seçenek birleştirme işlemi genel anahtarı en son uyguladığı için eklentinin genel olarak yapılandırılmış gizli anahtarı tarafından sessizce geçersiz kılınır. Farklı yetkilendirme alanları için farklı anahtarlar kullanan, örneğin kullanıcı ve yönetici anahtarlarını ayıran uygulamalar, bu nedenle açıkça başka bir anahtar gerektiren bir rotada genel anahtarla imzalanmış bir token'ı kabul eder. Bu, sıradan bir kimliği doğrulanmış kullanıcının her iki gizli anahtarı da bilmeden anahtar tabanlı bir güven sınırını aşmasına olanak tanır. Sorun, açıkça çağrı başına belirtilen anahtarın genel gizli anahtara göre öncelik kazandığı @fastify/jwt 10.2.2 sürümünde giderilmiştir. Kullanıcılar 10.2.2 sürümüne yükseltmelidir.
Nasıl düzeltilir
- fastify fastify\/jwt10.2.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| fastify fastify\/jwt | v < 10.2.2 | 10.2.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.