PT-2026-44395
CVE-2026-48523
·
تاريخ النشر
2026-05-28
·
تاريخ التحديث
2026-09-25
الوصف من
CVSS 3.1
5.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات PyJWT من 2.9.0 إلى 2.12.1
الوصف
يحدث تجاوز لقائمة الخوارزميات المسموح بها من جانب أداة التحقق عند استدعاء
jwt.decode() أو jwt.decode complete() باستخدام مفتاح PyJWK. وبينما يتم فحص رأس الرمز المميز alg مقابل قائمة الخوارزميات المسموح بها المقدمة، يتم إجراء التحقق من التوقيع باستخدام الخوارزمية المرتبطة بكائن PyJWK بدلاً من خوارزمية الرأس. وهذا يسمح للمهاجم الذي يتحكم في مفتاح خاص مسجل لـ JWK/JWKS بالتوقيع على الرمز باستخدام خوارزمية غير مسموح بها والإعلان عن خوارزمية مسموح بها في رأس JWT للحصول على القبول. تؤثر هذه المشكلة على مسار PyJWKClient.get signing key from jwt(...).التوصيات
قم بالتحديث إلى الإصدار 2.13.0.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾