CVE-2025-30144

Resumen

fast-jwt proporciona una implementación rápida de JSON Web Token (JWT). Antes de la versión 5.0.6, la librería fast-jwt no validaba correctamente la declaración iss según el RFC 7519. La validación de la declaración iss (emisor) dentro de la librería fast-jwt permite una matriz de cadenas como valor iss válido. Esta falla de diseño permite un posible ataque donde un actor malicioso manipula un JWT con una declaración iss estructurada como ['https://attacker-domain/', 'https://valid-iss']. Debido a la validación permisiva, el JWT se considerará válido. Además, si la aplicación utiliza librerías externas como get-jwks, que no validan de forma independiente la declaración iss, el atacante puede aprovechar esta vulnerabilidad para falsificar un JWT que sea aceptado por la aplicación víctima. En esencia, el atacante puede insertar su propio dominio en la matriz iss, junto con el emisor legítimo, y eludir las comprobaciones de seguridad previstas. Este problema se solucionó en la versión 5.0.6.

• CVE-2025-30144PoC

  Prueba de concepto para CVE-2025-30144: omisión de validación del emisor JWT en la librería fast-jwt que permite a atacantes falsificar tokens con claims iss basados en arrays.