fast-jwt stille claim-validator omzeiling — CVE-2026-107723

Wat er is gebeurd

fast-jwt's createVerifier accepteerde een geldig ondertekend JWT waarvan de payload een JSON-array was, omdat de decoder controleerde of de payload een object was maar arrays niet weigerde. De claim-validator vond vervolgens geen exp, nbf, iss, aud, sub, jti of nonce properties en sloeg die geconfigureerde controles stilzwijgend over, waarbij de array als een succesvol geverifieerde payload werd geretourneerd. De handtekeningverificatie zelf werd niet omzeild. (Bronnen: OSV, NVD)

Technische oorzaak

De decoder liet arrays als payload toe; de claim-validatielus verwacht een payload-object en zoekt naar benoemde claim-eigenschappen. Bij een array ontbreken die eigenschappen, waardoor de validator geconfigureerde controles overslaat in plaats van het token af te wijzen. De opt-in requiredClaims-optie kan ontbrekende claims blokkeren maar was niet standaard afgedwongen. (Bronnen: OSV, NVD)

Waarom dit belangrijk is

Een aanvaller die een geldig ondertekend token kan produceren of beïnvloeden, kan ervoor zorgen dat de verifier een token met een array-payload accepteert en daarmee expiratie-, issuer-, audience-, subject-, revocatie- en replaybescherming die van benoemde claims afhankelijk zijn omzeilen. De kwetsbaarheid heeft CVSS 3.1 basiscore 8.1 (vector: AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N). (Bronnen: OSV, NVD)

Wie is getroffen

Applicaties en services die het fast-jwt npm-pakket gebruiken en blootstaan aan de getroffen codepad zijn getroffen. Het token moet geldig ondertekend zijn; een aanvaller heeft de mogelijkheid nodig om een geldig ondertekend JWT te produceren of te beïnvloeden om de fout te misbruiken. (Bronnen: OSV, NVD)

Ontdekking en tijdlijn

De OSV-adviespagina en de NVD-melding voor dit probleem zijn gepubliceerd op 2026-10-08. De kwetsbaarheid kreeg CVE-2026-107723 en GHSA-5hjw-83fp-phq9 toegewezen. (Bronnen: OSV, NVD)

Getroffen versies

Het advies geeft het getroffen bereik aan als geïntroduceerd bij "0" en opgelost in "6.3.0"; releases vóór de vastgestelde fix vallen volgens het advies binnen het getroffen bereik. (Bron: OSV)

Oplossingen en mitigatie

De fout is verholpen in 6.3.0. De opt-in requiredClaims-optie kan ontbrekende claims blokkeren en kan dit probleem mitigeren wanneer ingeschakeld. De handtekeningverificatie wordt niet omzeild door de fout. Als directe upgrade niet mogelijk is, schakel requiredClaims in en controleer dat geaccepteerde tokens payloads hebben die JSON-objecten zijn. (Bronnen: OSV, NVD)

Aanbevolen actie

Werk fast-jwt bij naar 6.3.0. Controleer de tokenafhandeling en zorg dat geaccepteerde tokens object-payloads en de vereiste claims bevatten. Als een onmiddellijke update niet mogelijk is, schakel de requiredClaims-optie in om vereiste claims af te dwingen. Houd vendor- en NVD-advisories in de gaten voor aanvullende informatie. (Bronnen: OSV, NVD)