p PatchFirst

CVE-2026-35042

CVE-2026-35042 · fast-jwt accepts unknown `crit` header extensions (RFC 7515 §4.1.11 MUST violation)

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

fast-jwt provides fast JSON Web Token (JWT) implementation. In 6.1.0 and earlier, fast-jwt does not validate the crit (Critical) Header Parameter defined in RFC 7515 §4.1.11. When a JWS token contains a crit array listing extensions that fast-jwt does not understand, the library accepts the token instead of rejecting it. This violates the MUST requirement in the RFC.

CVSS 7.5 · Высокий · EPSS 0,2%

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • fast-jwt

    Версии
    • <= 6.1.0: Затронуто

    Нет опубликованного исправления

  • fast-jwt npm

    Затронутые диапазоны версий
    • SEMVER: ≤ 6.1.0

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →