CVE-2026-107722

GitHubCrítica, npm

fast-jwt: Patch incompleto para CVE-2026-34950: prefixo de chave não-espacial reativa confusão de algoritmo RSA→HS256

Traduzido automaticamente do inglês.

O patch para CVE-2026-34950 (CVSS 9.1, lançado na v6.2.0) está incompleto. Ele adiciona key.trim() ao caminho de detecção PEM em src/crypto.js, mas String.prototype.trim() só remove caracteres classificados como espaço em branco pela especificação ECMAScript. A expressão regular subsequente ancorada em ^ (/^-----BEGIN(?: (RSA))?

Sem exploração conhecida
Gravidade: Crítica, CVSS 9.8 (v3.1)
EPSS: 0,27% de chance de exploração em 30 dias (EPSS, em 23 de out. de 2026)
Pacotes afetados: fast-jwt (npm) >= 6.2.0, <= 6.2.4, corrigido em 6.3.0 · GHSA-ww5h-9m49-7xx4