CVE-2026-35039

اسم البرنامج المعرض للخطر والإصدارات المتأثرة

fast-jwt (لم يتم تحديد الإصدارات المتأثرة)

الوصف

تحتوي مكتبة fast-jwt على ثغرة أمنية تتعلق بتشويش ذاكرة التخزين المؤقت (cache confusion) قد تؤدي إلى حدوث خلط في الهوية أو التفويض. ويحدث ذلك عندما لا تقوم دالة cacheKeyBuilder المخصصة بإنشاء مفاتيح فريدة لرموز التوثيق المختلفة، مما يؤدي إلى تضارب في ذاكرة التخزين المؤقت. وقد يؤدي ذلك إلى قيام الرموز الصالحة بإرجاع مطالبات من رموز مختلفة، وانتحال هوية المستخدم، وتصعيد الامتيازات، والوصول إلى البيانات عبر المستأجرين، وتجاوز التفويض. لا تؤثر هذه الثغرة إلا على التطبيقات التي تتيح التخزين المؤقت وتستخدم دوال cacheKeyBuilder مخصصة معرضة للتضارب. ومن أمثلة التكوينات المعرضة للخطر تلك التي تقوم بالتجميع حسب الجمهور أو نوع المستخدم أو المستأجر والخدمة. وتشمل التكوينات الآمنة استخدام التخزين المؤقت الافتراضي القائم على التجزئة أو تعطيل التخزين المؤقت تمامًا. تُستخدم دالة parseToken داخل دالة cacheKeyBuilder.

التوصيات

التأكد من تفرد المفاتيح التي يتم إنشاؤها في دالة cacheKeyBuilder.

إزالة دالة cacheKeyBuilder المخصصة.

تعطيل التخزين المؤقت.