« Volver al listado

CVE-2026-107724

Estado: AplazadaAlta (7.4)—

fast-jwt proporciona una implementación rápida de JSON Web Token (JWT). En la 6.2.4, fast-jwt puede clasificar el JSON serializado sin procesar de un JWK o JWKS público como un secreto HMAC porque performDetectPublicKeyAlgorithms de src/crypto.js trata las cadenas que no son PEM como material de clave simétrica. Si HS256 se permite explícitamente o se infiere, un atacante que conozca los bytes exactos de la clave pública serializada puede utilizar esos bytes como clave HMAC y crear un token con reclamaciones (claims) arbitrarias que createVerifier acepta.

Leer descripción completaMostrar menos

Las diferencias en el orden de serialización o en los espacios en blanco pueden impedir la explotación, y las aplicaciones que utilizan claves PEM admitidas con una lista de algoritmos permitidos solo asimétricos no están afectadas. Este problema está corregido en la versión 6.3.0.

Traducción automática del texto original de NVD (en inglés).

CVSS

Probabilidad de explotación (EPSS)

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

🎯 Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Vulnerabilidad en servicio web remoto (fast-jwt) que permite forjar tokens JWT válidos. Atacante remoto sin autenticación puede generar tokens con claims arbitrarios explotando confusión entre claves públicas y simétricas (CWE-347), impactando autenticación.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

🛡️ Mitigaciones ATT&CK que cubren estas técnicas

Privileged Account ManagementApplication Developer GuidanceActive Directory ConfigurationVulnerability ScanningUser TrainingUser Account Management

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Nearform — Fast-jwtAI

CWE

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-107724",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-107724",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "poc"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "total"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-09T15:51:21.495223Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security-advisories@github.com",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 7.4,
          "attackVector": "NETWORK",
          "baseSeverity": "HIGH",
          "vectorString": "CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N",
          "integrityImpact": "HIGH",
          "userInteraction": "NONE",
          "attackComplexity": "HIGH",
          "availabilityImpact": "NONE",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "HIGH"
        },
        "impactScore": 5.2,
        "exploitabilityScore": 2.2
      }
    ]
  },
  "affected": [
    {
      "source": "security-advisories@github.com",
      "affectedData": [
        {
          "vendor": "nearform",
          "product": "fast-jwt",
          "versions": [
            {
              "status": "affected",
              "version": ">= 6.2.4, < 6.3.0"
            }
          ]
        }
      ]
    }
  ],
  "published": "2026-10-08T22:17:28.800",
  "references": [
    {
      "url": "https://github.com/nearform/fast-jwt/commit/10f9591349199ed2ab9fa1748ce92cdca697f6cf",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/nearform/fast-jwt/pull/636",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/nearform/fast-jwt/releases/tag/v6.3.0",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/nearform/fast-jwt/security/advisories/GHSA-g3jj-5cmm-3hxx",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/nearform/fast-jwt/security/advisories/GHSA-g3jj-5cmm-3hxx",
      "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0"
    }
  ],
  "vulnStatus": "Deferred",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security-advisories@github.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-347"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "fast-jwt provides fast JSON Web Token (JWT) implementation. In 6.2.4, fast-jwt can classify raw serialized public JWK or JWKS JSON as an HMAC secret because src/crypto.js performDetectPublicKeyAlgorithms treats non-PEM strings as symmetric key material. If HS256 is explicitly allowed or inferred, an attacker who knows the exact serialized public-key bytes can use those bytes as an HMAC key and create a token containing arbitrary claims that createVerifier accepts. Serialization ordering or whitespace differences can prevent exploitation, and applications using supported PEM keys with an asymmetric-only algorithm allowlist are not affected. This issue is fixed in version 6.3.0."
    }
  ],
  "lastModified": "2026-10-09T16:17:23.740",
  "sourceIdentifier": "security-advisories@github.com"
}