CVE-2026-35041

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات fast-jwt من 5.0.0 إلى 6.2.0

الوصف: يُعتبر fast-jwt عرضة لحالة «رفض الخدمة» (DoS) عندما يتم تكوين خيار التحقق allowedAud باستخدام تعبير عادي. ونظرًا لأن المطالبة aud تخضع لسيطرة المهاجم ويتم تقييمها مقابل التعبير العادي RegExp المقدم، فإن JWT المصمم خصيصًا يمكن أن يؤدي إلى تراجع كارثي في محرك التعبيرات العادية في JavaScript، مما يؤدي إلى استهلاك كبير لموارد وحدة المعالجة المركزية (CPU) أثناء عملية التحقق. وقد يؤثر ذلك على بوابات واجهة برمجة التطبيقات (API)، وبرامج الوساطة للمصادقة، والاتصال بين الخدمات، ومسارات التحقق من صحة رموز OAuth / OIDC. تحدث هذه الثغرة الأمنية مع JWT موقّع بشكل صحيح، مما يجعلها قابلة للاستغلال في سياقات المصادقة. ترجع المشكلة إلى سماح المكتبة باستخدام التعبيرات العادية في التحقق من صحة المطالبات وقدرة المهاجم على التحكم في المطالبة aud، مما يؤدي إلى زيادة أسيّة في وقت التحقق مع زيادة طول المدخلات. وقد يؤدي ذلك إلى حظر خيوط حلقة أحداث Node.js، وتقليل إنتاجية واجهة برمجة التطبيقات (API)، والتسبب في أعطال متتالية في الخدمات، وزيادة تكاليف التنفيذ بدون خادم، وإثقال كاهل البنية التحتية للمصادقة.

التوصيات: بالنسبة للإصدارات من 5.0.0 إلى 6.2.0، تجنب استخدام التعبيرات العادية في خيارات allowedAud أو allowedIss أو allowedSub أو allowedJti أو allowedNonce. إذا كانت التعبيرات العادية ضرورية، فتأكد من أنها آمنة ولا تحتوي على محددات كمية متداخلة قد تؤدي إلى تراجع كارثي.