CVE-2026-32597
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
PyJWT przed wersją 2.12.0 nie waliduje parametru crit (Critical) zdefiniowanego w RFC 7515. Gdy token JWS zawiera tablicę crit z rozszerzeniami, których PyJWT nie rozumie, biblioteka akceptuje token zamiast go odrzucić, co narusza wymaganie MUST z RFC.
Ocena ryzyka
Atakujący może wstrzyknąć nieobsługiwane rozszerzenia do tokena JWT, co może prowadzić do ominięcia zabezpieczeń lub nieoczekiwanego zachowania.
Rekomendacja
Zaktualizuj PyJWT do wersji 2.12.0 lub nowszej, która zawiera poprawkę.
Inne podatności w PyJWT
Zobacz wszystkie- CVE-2017-11424Wysokie
W wersjach PyJWT 1.5.0 i wcześniejszych, sprawdzenie `invalid_strings` w `HMACAlgorithm.prepare_key` nie uwzględnia wszystkich kluczy publicznych zakodowanych w formacie PEM. Szczególnie format PKCS1 PEM jest dozwolony, co umożliwia ataki związane z myleniem kluczy symetrycznych i asymetrycznych.
- CVE-2026-48526Wysokie
Biblioteka PyJWT w Pythonie przed wersją 2.13.0 nie weryfikuje użycia kluczy JSON Web Key w algorytmie HMAC, co pozwala atakującemu użyć publicznego klucza wydawcy jako tajnego klucza HMAC.
Oryginalny opis (angielski, źródło NVD)
PyJWT is a JSON Web Token implementation in Python. Prior to 2.12.0, PyJWT does not validate the crit (Critical) Header Parameter defined in RFC 7515 §4.1.11. When a JWS token contains a crit array listing extensions that PyJWT does not understand, the library accepts the token instead of rejecting it. This violates the MUST requirement in the RFC. This vulnerability is fixed in 2.12.0.