CVE-2026-18500

Nome do Software Vulnerável e Versões Afetadas @fastify/jwt versões anteriores a 10.2.2

Descrição Existe uma falha onde uma chave de verificação por requisição passada para a função request.jwtVerify({ key }) é silenciosamente substituída pelo segredo configurado globalmente no plugin devido à ordem da mesclagem de opções. Isso permite que um usuário autenticado ignore limites de confiança baseados em chaves, como chaves separadas para usuários e administradores, utilizando um token assinado com a chave global em uma rota que exige uma chave específica.

Recomendações Atualize o @fastify/jwt para a versão 10.2.2.