CVE-2026-35040
Açıklama
fast-jwt, hızlı JSON Web Token (JWT) uygulaması sağlar. 6.2.1 sürümünden önce, verify fonksiyonlarındaki allowedAud, allowedIss, allowedSub, allowedJti veya allowedNonce seçeneklerinde RegExp nesneleri üzerinde belirli değiştiricilerin kullanılması bazı istenmeyen davranışlara neden olabilir. Bunun nedeni, bazı değiştiricilerin durum bilgisi taşıması ve sağlanan token'ın geçerliliğinden bağımsız olarak her ikinci doğrulama denemesinde hatalara yol açmasıdır. Bu tür değiştiriciler /g (global eşleştirme) ve /y (yapışkan eşleştirme) şeklindedir. Bu durum geçersiz token'ların kabul edilmesine izin VERMEZ, yalnızca bazı yapılandırmalarda geçerli token'ların hatalı şekilde reddedilmesine neden olur. Bunun yerine, geçerli kimlik doğrulama isteklerinin %50'sinin değişen bir düzende başarısız olmasına yol açar. Bu güvenlik açığı 6.2.1 sürümünde giderilmiştir.
Nasıl düzeltilir
- nearform fast-jwt6.2.1 ya da sonraki bir sürüm
- fast-jwt6.2.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nearform fast-jwt | v < 6.2.1 | 6.2.1 |
| fast-jwtnpm | v < 6.2.1 | 6.2.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.