CVE-2026-44351

सारांश

fast-jwt एक तेज़ JSON Web Token (JWT) कार्यान्वयन प्रदान करता है। 6.2.4 से पहले, fast-jwt के async key-resolver प्रवाह में एक गंभीर authentication-bypass vulnerability किसी भी unauthenticated attacker को मनमाने JWTs बनाने की अनुमति देती है जिन्हें प्रामाणिक के रूप में स्वीकार किया जाता है। जब एप्लिकेशन का key resolver एक खाली स्ट्रिंग ('') लौटाता है, उदाहरण के लिए सामान्य keys[decoded.header.kid] || '' JWKS-शैली fallback के माध्यम से, fast-jwt इसे एक शून्य-लंबाई Buffer में परिवर्तित करता है, इसे crypto.createSecretKey को सौंपता है, इससे allowedAlgorithms = ['HS256','HS384','HS512'] प्राप्त करता है, और फिर एक खाली-key HMAC के विरुद्ध टोकन के हस्ताक्षर को सत्यापित करता है। हमलावर बस HMAC-SHA256(key='', input='${header}.${payload}') की गणना करता है, जिसे Node बिना किसी शिकायत के स्वीकार करता है — और verifier हमलावर द्वारा चुने गए payload (sub, admin, scopes, आदि) को प्रामाणिक के रूप में लौटाता है। यह vulnerability 6.2.4 में ठीक कर दी गई है।

• CVE-2026-44351-pocPoC

  CVE-2026-44351 के लिए प्रूफ-ऑफ-कॉन्सेप्ट, जो fast-jwt <6.2.4 में एक ऑथेंटिकेशन बायपास है, जहाँ एक खाली HMAC key हमलावरों को मनमाने JWTs बनाने की अनुमति देती है जिन्हें वैध के रूप में स्वीकार किया जाता है।