fast-jwt: Verifier-cache accepteert verlopen JWT's (CVE-2026-107719)

Wat is er gebeurd

De createVerifier-cache van fast-jwt kan een eerder geldig, ondertekend JWT blijven accepteren nadat de exp-tijd is verstreken wanneer caching is ingeschakeld en het token een exp-claim maar geen iat-claim heeft. Bij een cache-hit wordt de opgeslagen payload teruggegeven voordat verifyToken de vervaldatum opnieuw controleert, waardoor een herhaald token geldig blijft tot de cache-entry verloopt. Via deze fout kunnen tokens niet worden verfraaid. (Bronnen: OSV, NVD)

Technische oorzaak

In src/verifier.js bepaalt de cacheSet-logica de cache-deadline uit iat en exp alleen als iat aanwezig is. Als iat ontbreekt valt de code terug op een algemene cacheTTL, waardoor vervaldatum niet per token afdwingbaar is bij een cache-hit. Die fallback maakt het mogelijk dat een gecachte payload wordt teruggegeven zonder nieuwe vervaldatumcontrole. (Bron: OSV)

Waarom dit van belang is

Een aanvaller die hetzelfde gecachte bearer-token kan hergebruiken kan de toegang verlengen tot de cache-entry verloopt. De fout maakt het niet mogelijk om tokens te vervalsen, maar vergroot de effectieve levensduur van een anders verlopen token wanneer caching wordt gebruikt. (Bron: OSV)

Wie is getroffen

Applicaties die fast-jwt gebruiken met verifier-caching ingeschakeld en die JWT's accepteren met een exp-claim maar zonder iat-claim zijn getroffen. De melding betreft het fast-jwt-pakket in het npm-ecosysteem. (Bronnen: OSV, NVD)

Ontdekking en tijdlijn

De kwetsbaarheid is gepubliceerd in OSV en NVD op 2026-10-08. De gebruikte bronvermeldingen zijn de OSV- en NVD-records; verdere details over ontdekking of verantwoordelijke onderzoekers worden in die bronnen niet gegeven. (Bronnen: OSV, NVD)

Getroffen versies

De advisory meldt dat fast-jwt vanaf versie 0 is aangetast en dat de fout is verholpen in 6.3.4. Beschouw versies ouder dan 6.3.4 als kwetsbaar. (Bron: OSV)

Oplossingen en mitigatie

Er is een fix in 6.3.4 beschikbaar. Als direct updaten niet mogelijk is, overweeg dan de verifier-cache uit te schakelen, tokens zonder iat-claim te weigeren of de cache-TTL te verkorten zodat gecachte items sneller verlopen. Test mitigaties in een testomgeving om regressies te voorkomen. (Bronnen: OSV, NVD)

Aanbevolen actie

Werk fast-jwt bij naar 6.3.4. Als updaten niet direct mogelijk is, schakel verifier-caching uit of zorg dat inkomende tokens een iat-claim bevatten en verkort cache-TTL's totdat de vendor-update geïmplementeerd is. Test wijzigingen voordat u ze in productie uitrolt. (Bronnen: OSV, NVD)