fast-jwt: Umgehung von Claim-Prüfungen über JSON-Array-Payload

Zusammenfassung

Die Node.js-Bibliothek fast-jwt akzeptiert ein gültig signiertes JWT, dessen Payload ein JSON-Array ist. Dabei werden konfigurierte Prüfungen für exp, nbf, iss, aud, sub, jti und nonce stillschweigend übersprungen, und das Token gilt als verifiziert. Ein Angreifer, der ein gültig signiertes Token erzeugen oder beeinflussen kann, kann Schutzmechanismen für Ablauf, Aussteller, Zielgruppe, Subjekt, Widerruf und Replay umgehen. Die Signaturprüfung selbst wird nicht umgangen.

Betroffen

• fast-jwt-Versionen vor 6.3.0 (das GitHub-Advisory nennt <= 6.2.4)
• Anwendungen, die fast-jwt direkt oder über Abhängigkeiten wie @fastify/jwt nutzen

Behoben in

• Behoben in fast-jwt 6.3.0 (Array-Payloads werden vom Decoder abgelehnt)
• Verwandte Advisories sind in 6.3.1 und 6.3.4 behoben; die neueste Version verwenden

Umgehung

• Die Option requiredClaims setzen, damit fehlende Claims abgelehnt werden. Dies ist nur eine Teilmassnahme und behebt die Ursache nicht.
• Das Aktualisieren ist die eigentliche Behebung.

Ausnutzung

• Öffentlicher Proof of Concept: ja, im GitHub-Advisory enthalten
• Ausnutzung in freier Wildbahn: keine Hinweise gefunden (CISA KEV nicht geprüft)
• CISA SSVC: Exploit-PoC, nicht automatisierbar, totale technische Auswirkung
• EPSS ist niedrig (0.00358)

Unsere Empfehlung

• Lock-Dateien und Abhängigkeitsbäume auf fast-jwt prüfen, einschliesslich transitiver Abhängigkeiten.
• Auf die neueste fast-jwt-Version aktualisieren (mindestens 6.3.4).
• Anwendungen zuerst prüfen, die Token von mehreren Ausstellern, Partnern oder über benutzergesteuerte Signaturpfade akzeptieren, insbesondere wenn sie aus dem Internet erreichbar sind.
• Bei verzögerter Aktualisierung requiredClaims als Übergangsmassnahme setzen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-5hjw-83fp-phq9 github.com
• fast-jwt release v6.3.0 github.com
• Fix commit 86e83ef github.com
• Fix pull request #639 github.com
• OSV: CVE-2026-107723 osv.dev
• fast-jwt releases github.com
• GitLab Advisory: CVE-2026-107723 advisories.gitlab.com
• Vulners: CVE-2026-107723 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:30.