CVE-2026-110024

اسم البرنامج المصاب والإصدارات المتأثرة @fastify/jwt الإصدارات السابقة لـ 10.2.5

Description في دالتي sign() و verify() على المستوى الأعلى، تحل خيارات كل استدعاء محل الإعدادات الافتراضية المكونة عالميًا بدلاً من دمجها معها. يتسبب هذا السلوك في إسقاط أي إعداد افتراضي عالمي لم يتم ذكره صراحة في خيارات الاستدعاء، بما في ذلك الحمايات الزمنية مثل انتهاء صلاحية الرمز وأقصى عمر مقبول للرمز. نتيجة لذلك، قد تفتقر الرموز الموقعة بهذه الطريقة إلى مطالبة انتهاء الصلاحية ولا تنتهي صلاحيتها أبدًا، كما قد تتوقف عملية التحقق عن فرض الحد الأقصى للعمر المكون، مما يسمح بقبول رموز قديمة أو غير منتهية الصلاحية.

Recommendations التحديث إلى الإصدار 10.2.5 أو إصدار أحدث.