CVE-2025-30144

Nome do Software Vulnerável e Versões Afetadas Versões do fast-jwt anteriores a 5.0.6

Descrição A biblioteca fast-jwt não valida corretamente a claim iss conforme a RFC 7519, permitindo que um array de strings seja aceito como um valor válido para iss. Isso possibilita um ataque potencial no qual um ator malicioso cria um JWT com uma claim iss estruturada como um array contendo domínios emissores maliciosos e legítimos. A validação permissiva considera o JWT válido e, se a aplicação depender de bibliotecas externas que não validam independentemente a claim iss, o atacante pode forjar um JWT que será aceito pela aplicação vítima.

Recomendações Para versões anteriores a 5.0.6, atualize para a versão 5.0.6 para corrigir o problema. Como solução temporária, considere validar a claim iss independentemente em sua aplicação para garantir que ela corresponda ao domínio emissor esperado e restrinja o uso de bibliotecas externas que não realizam essa validação.