CVE-2026-44351: fast-jwt: segredo HMAC vazio aceito em resolvedor de chaves assíncrono (bypass de autenticação JWT)

Visão geral

O registro descreve uma falha de autenticação fluxo de resolvedor de chaves assíncrono do fast-jwt, uma implementação de JSON Web Tokens. Quando o resolvedor de chaves da aplicação retorna uma string vazia, a biblioteca a trata como um segredo HMAC válido de comprimento zero. A fraqueza é classificada como CWE-287, Autenticação Inadequada. A correção é informada como disponível na versão 6.2.4.

Impacto

Segundo o registro, um atacante não autenticado poderia produzir tokens que o verificador aceita como autênticos, e o verificador então devolveria as informações escolhidas pelo atacante, como identificador do sujeito, indicadores de administrador ou escopos. O registro informa pontuação CVSS 3.1 de 9.1, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N, o que indica alto impacto em confidencialidade e integridade e nenhum impacto em disponibilidade.

Produtos e versões afetados

Nearform Fast-jwt, versões anteriores à 6.2.4 (registradas como version < 6.2.4).

O campo de correções do registro está vazio, por isso a versão corrigida é obtida da descrição, que afirma que a vulnerabilidade está corrigida na 6.2.4. A exposição depende de a aplicação usar um resolvedor de chaves assíncrono que possa retornar string vazia; o registro não informa com que frequência esse padrão ocorre.

Status de exploração

A CVE não consta no catálogo KEV da CISA e o valor de exploração no SSVC do registro é none. A probabilidade EPSS é 0,00334, com percentil de 0,24968. Nas fontes consultadas não há exploração confirmada. O registro classifica o problema como automatizável.

Correção e mitigação

Atualize o fast-jwt para a versão 6.2.4 ou superior, conforme informado na descrição.
Revise todos os resolvedores de chaves usados com o fast-jwt e garanta que nenhum possa retornar string vazia ou outro material de chave vazio. Configure o sistema para falhar de forma segura quando não houver chave válida.
Confirme que os tokens são aceitos apenas com os algoritmos e tipos de chave que a aplicação pretende usar.
Se tokens inesperados possivelmente foram aceitos, revise os controles de autenticação e sessão e renove credenciais ou segredos que possam ter sido afetados.

Orientações de detecção

Faça o inventário de dependências diretas e transitivas do fast-jwt e identifique qualquer versão inferior à 6.2.4.
Revise os logs da aplicação em busca de autenticações bem-sucedidas ou ações privilegiadas associadas a identidades ou claims de token inesperados.
Observe tokens que usam algoritmos HMAC em serviços que deveriam verificar assinaturas assimétricas, pois isso pode indicar confusão de chave ou condição de chave vazia.

Limitações das informações disponíveis

O registro não traz versão corrigida em seu campo próprio, portanto a correção na 6.2.4 depende da descrição. As fontes não descrevem atividade de exploração, disponibilidade de prova de conceito nem o número de implantações afetadas. A data do EPSS no registro (2026-10-13) deve ser verificada na fonte antes de ser usada. Os dados de CVSS vêm das entradas GitHub e CNA do registro, e não há pontuação NVD separada.

Perguntas frequentes

Quais versões do fast-jwt são afetadas por esta CVE?

O registro lista as versões do Nearform Fast-jwt anteriores à 6.2.4 como afetadas. A descrição informa que o problema está corrigido na 6.2.4.

Há registro de exploração ativa desta CVE?

Não. A CVE não consta no catálogo KEV da CISA e nenhuma exploração confirmada aparece nas fontes consultadas.

O que as equipes devem fazer primeiro?

Levantar as dependências do fast-jwt, atualizar para a 6.2.4 ou superior e garantir que nenhum resolvedor de chaves retorne chave vazia.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.