CVE-2026-34950
Publiée le 2026-04-06 · Dernière modification le 2026-10-26
Les applications utilisant la bibliothèque `fast-jwt` (version 6.1.0 ou antérieure) sont vulnérables à une attaque par confusion d'algorithme. Un attaquant non authentifié disposant d'un accès réseau peut contourner l'authentification et usurper l'identité de n'importe quel utilisateur en fournissant un jeton spécialement conçu contenant des espaces blancs au début. Cette exploitation est facile à exécuter et ne nécessite aucune interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
fast-jwt provides fast JSON Web Token (JWT) implementation. In 6.1.0 and earlier, the publicKeyPemMatcher regex in fast-jwt/src/crypto.js uses a ^ anchor that is defeated by any leading whitespace in the key string, re-enabling the exact same JWT algorithm confusion attack that CVE-2023-48223 patched.