« Volver al listado

CVE-2026-107722

Estado: AplazadaCrítica (9.8)—

fast-jwt proporciona una implementación rápida de JSON Web Token (JWT). Desde la 6.2.0 hasta la 6.3.0, fast-jwt puede clasificar erróneamente el texto de una clave pública RSA como un secreto HMAC cuando la clave tiene contenido que no son espacios en blanco antes de su cabecera PEM. En src/crypto.js, performDetectPublicKeyAlgorithms elimina los espacios en blanco pero publicKeyPemMatcher sigue anclado al inicio, por lo que comentarios, caracteres de control, caracteres de ancho cero o texto envolvente pueden impedir la detección de PEM y llegar a la alternativa HMAC.

Leer descripción completaMostrar menos

Un atacante que conozca los bytes de la clave pública puede firmar reclamaciones HS256 arbitrarias con ese material público cuando HS256 se infiere o se permite, lo que da lugar a una omisión de autenticación o autorización. Una lista de algoritmos permitidos solo asimétricos impide el ataque. Este problema está corregido en la versión 6.3.0.

Traducción automática del texto original de NVD (en inglés).

CVSS

Probabilidad de explotación (EPSS)

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

🎯 Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Vulnerabilidad en biblioteca JWT (CWE-347: criptografía débil). Vector CVSS N/N/N indica explotación remota sin privilegios (T1190). El atacante puede falsificar tokens JWT conociendo la clave pública, logrando suplantación de identidad y acceso no autorizado (T1550.001: uso de tokens robados; T1078

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

🛡️ Mitigaciones ATT&CK que cubren estas técnicas

Application Developer GuidanceVulnerability ScanningRestrict Web-Based ContentPrivileged Account ManagementNetwork SegmentationLimit Access to Resource Over Network

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Nearform — Fast-jwtAI

CWE

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-107722",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-107722",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "poc"
            },
            {
              "automatable": "yes"
            },
            {
              "technicalImpact": "total"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-13T16:26:04.072306Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security-advisories@github.com",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 9.8,
          "attackVector": "NETWORK",
          "baseSeverity": "CRITICAL",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H",
          "integrityImpact": "HIGH",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "HIGH",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "HIGH"
        },
        "impactScore": 5.9,
        "exploitabilityScore": 3.9
      }
    ]
  },
  "affected": [
    {
      "source": "security-advisories@github.com",
      "affectedData": [
        {
          "vendor": "nearform",
          "product": "fast-jwt",
          "versions": [
            {
              "status": "affected",
              "version": ">= 6.2.0, < 6.3.0"
            }
          ]
        }
      ]
    }
  ],
  "published": "2026-10-08T22:17:28.447",
  "references": [
    {
      "url": "https://github.com/nearform/fast-jwt/commit/d96bbc6c5336055a6dbfa318fdbab01197264cfa",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/nearform/fast-jwt/pull/632",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/nearform/fast-jwt/releases/tag/v6.3.0",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/nearform/fast-jwt/security/advisories/GHSA-ww5h-9m49-7xx4",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/nearform/fast-jwt/security/advisories/GHSA-ww5h-9m49-7xx4",
      "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0"
    }
  ],
  "vulnStatus": "Deferred",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security-advisories@github.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-347"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "fast-jwt provides fast JSON Web Token (JWT) implementation. From 6.2.0 until 6.3.0, fast-jwt can misclassify RSA public-key text as an HMAC secret when the key has non-whitespace content before its PEM header. In src/crypto.js, performDetectPublicKeyAlgorithms trims whitespace but publicKeyPemMatcher remains start-anchored, so comments, control characters, zero-width characters, or wrapper text can prevent PEM detection and reach the HMAC fallback. An attacker who knows the public key bytes can sign arbitrary HS256 claims with that public material when HS256 is inferred or allowed, resulting in authentication or authorization bypass. An asymmetric-only algorithm allowlist prevents the attack. This issue is fixed in version 6.3.0."
    }
  ],
  "lastModified": "2026-10-13T17:17:16.970",
  "sourceIdentifier": "security-advisories@github.com"
}