Më 8 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-ww5h-9m49-7xx4 (CVE-2026-107722) për një dobësi me rrezikshmëri kritike (CVSS 9.8) në paketën fast-jwt të ekosistemit npm.
Paketat e prekura
- fast-jwt (npm) — versionet e prekura:
>= 6.2.0, <= 6.2.4; versioni me rregullim:6.3.0
Detaje
- Rrezikshmëria: Kritike (CVSS 9.8)
- CWE: CWE-347 (Improper Verification of Cryptographic Signature)
- Identifikuesit: GHSA-ww5h-9m49-7xx4, CVE-2026-107722
Përmbledhja zyrtare
fast-jwt: Patch i paplotë i CVE-2026-34950: Prefiksi jo i hapësirës së→ bardhë riaktivizon konfuzionin e algoritmit RSA HS256 — Përmbledhje Rregullimi për CVE-2026-34950 (CVSS 9.1, lëshuar në v6.2.0) është i paplotë . Shton key.trim () në shtegun e zbulimit PEM në src/crypto.js, por String.prototype.trim () zhvesh vetëm karaktere të klasifikuara si hapësirë e bardhë nga specifikimi ECMAScript. Regeksi i mëvonshëm i ankoruar ^ ( /^—–BEGIN(?: (RSA))? KEY publike—–/ ) ende kërkon kokën PEM në pozicionin 0 — kështu që çdo bajt që nuk çon në hapësirën e bardhë (shenjat e kontrollit, unicode me gjerësi zero, komentet, titujt e stilit http, mbështjellësit PGP) anashkalon zbulimin dhe bie në rrugën e verifikimit HMAC, duke përdorur…
Çfarë duhet të bëni
Nëse projektet tuaja përdorin fast-jwt, përditësojeni sa më shpejt në versionin 6.3.0 ose më të ri.
