CVE-2025-30144

Résumé

fast-jwt fournit une implémentation rapide de JSON Web Token (JWT). Avant la version 5.0.6, la bibliothèque fast-jwt ne valide pas correctement la revendication iss conformément à la RFC 7519. La validation de la revendication iss (émetteur) dans la bibliothèque fast-jwt autorise un tableau de chaînes comme valeur iss valide. Cette faille de conception permet une attaque potentielle où un acteur malveillant forge un JWT avec une revendication iss structurée comme ['https://domaine-attaquant/', 'https://iss-valid']. En raison de cette validation permissive, le JWT sera considéré comme valide. De plus, si l'application s'appuie sur des bibliothèques externes comme get-jwks qui ne valident pas indépendamment la revendication iss, l'attaquant peut exploiter cette vulnérabilité pour forger un JWT qui sera accepté par l'application victime. Essentiellement, l'attaquant peut insérer son propre domaine dans le tableau iss, aux côtés de l'émetteur légitime, et contourner les contrôles de sécurité prévus. Ce problème est corrigé dans la version 5.0.6.

• CVE-2025-30144PoC

  Preuve de concept pour CVE-2025-30144 : contournement de la validation de l'émetteur JWT dans la bibliothèque fast-jwt permettant aux attaquants de forger des jetons avec des revendications iss basées sur des tableaux.