PT-2026-25090
CVE-2026-32597
·
تاريخ النشر
2026-01-01
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 2.0
7.8
عاليةالمقاييسAV:N/AC:L/Au:N/C:N/I:C/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات PyJWT السابقة للإصدار 2.12.0
الوصف
PyJWT هو تطبيق بلغة Python لمعالجة رموز JSON Web Tokens (JWT). قبل الإصدار 2.12.0، لم تكن المكتبة تتحقق بشكل صحيح من صحة معلمة الرأس «crit» (الحرجة) كما هو محدد في RFC 7515 §4.1.11. وعلى وجه التحديد، إذا احتوى رمز JWT على مصفوفة «crit» تسرد امتدادات لم يتعرف عليها PyJWT، فإن المكتبة كانت تقبل الرمز بدلاً من رفضه، مما يشكل انتهاكًا لمتطلب «MUST» المحدد في RFC. قد يؤدي ذلك إلى تجاوزات في سياسات الأمان، وتجاوزات في ربط الرموز، ومشكلات في التحقق من «انقسام الدماغ» في عمليات النشر التي تُستخدم فيها مكتبات مختلفة بمستويات متفاوتة من الامتثال. تسمح هذه المشكلة بتجاهل ملحقات RFC 7800
cnf (إثبات الحيازة) دون إشعار. يثبت نموذج إثبات المفهوم أن PyJWT تقبل رمزًا يحتوي على ملحق حرج غير معروف، في حين ترفضه مكتبة متوافقة مثل jwcrypto.التوصيات
يجب تحديث الإصدارات الأقدم من 2.12.0 إلى الإصدار 2.12.0 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾