CVE-2025-30144

ملخص

fast-jwt توفر تنفيذًا سريعًا لرموز JSON Web Token (JWT). قبل الإصدار 5.0.6، لا تتحقق مكتبة fast-jwt بشكل صحيح من مطالبة iss استنادًا إلى RFC 7519. يسمح التحقق من مطالبة iss (المُصدر) داخل مكتبة fast-jwt بمصفوفة من السلاسل النصية كقيمة iss صالحة. يتيح هذا الخلل التصميمي هجومًا محتملًا حيث يقوم المهاجم الخبيث بصياغة JWT بمطالبة iss منظمة على النحو التالي ['https://attacker-domain/', 'https://valid-iss']. نظرًا للتحقق المتساهل، سيُعتبر JWT صالحًا. علاوة على ذلك، إذا كان التطبيق يعتمد على مكتبات خارجية مثل get-jwks التي لا تتحقق بشكل مستقل من مطالبة iss، يمكن للمهاجم استغلال هذه الثغرة لتزوير JWT سيتم قبوله من قبل التطبيق الضحية. في الأساس، يمكن للمهاجم إدراج نطاقه الخاص في مصفوفة iss، إلى جانب المُصدر الشرعي، وتجاوز فحوصات الأمان المقصودة. تم إصلاح هذه المشكلة في الإصدار 5.0.6.

• CVE-2025-30144PoC

  إثبات المفهوم لـ CVE-2025-30144: تجاوز التحقق من مُصدر JWT في مكتبة fast-jwt مما يسمح للمهاجمين بتزوير الرموز المميزة باستخدام ادعاءات iss قائمة على المصفوفات.