CVE-2025-30144

总结

fast-jwt 提供了快速的 JSON Web Token (JWT) 实现。在 5.0.6 版本之前，fast-jwt 库未能根据 RFC 7519 正确验证 iss 声明。fast-jwt 库中的 iss（签发者）声明验证允许将字符串数组作为有效的 iss 值。这一设计缺陷使得潜在攻击者能够构造一个 iss 声明结构为 ['https://attacker-domain/', 'https://valid-iss'] 的 JWT。由于验证过于宽松，该 JWT 将被视为有效。此外，如果应用程序依赖诸如 get-jwks 之类的外部库，而这些库不独立验证 iss 声明，攻击者便可利用此漏洞伪造一个会被受害应用程序接受的 JWT。本质上，攻击者可以将自己的域名插入 iss 数组中，与合法签发者并列，从而绕过预期的安全检查。此问题已在 5.0.6 版本中修复。

• CVE-2025-30144PoC

  Proof-of-concept for CVE-2025-30144: fast-jwt 库中的 JWT 签发者校验绕过漏洞，允许攻击者利用基于数组的 iss 声明伪造令牌。