CVE-2026-48523
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
PyJWT to implementacja JSON Web Token w Pythonie. W wersjach od 2.9.0 do 2.12.1 występuje luka, która pozwala na obejście listy dozwolonych algorytmów weryfikacji, gdy wywoływane są funkcje jwt.decode() lub jwt.decode_complete() z kluczem PyJWK.
Ocena ryzyka
Atakujący, który kontroluje zarejestrowany klucz prywatny JWK/JWKS, może podpisać token z użyciem niedozwolonego algorytmu, co prowadzi do akceptacji tokenu mimo niezgodności algorytmu. To stwarza poważne ryzyko dla integralności i bezpieczeństwa systemu.
Rekomendacja
Zaleca się aktualizację do wersji 2.13.0 lub nowszej, aby usunąć tę podatność. Należy również przeanalizować i zaktualizować procedury weryfikacji tokenów w aplikacjach korzystających z PyJWT.
Powiązane podatności
- CVE-2026-66086Krytyczne
W stosie OTA modemu występuje możliwy przepełnienie bufora na stosie z powodu nieprawidłowej walidacji informacji o planowaniu w komunikatach SIB1. Może to prowadzić do zdalnego wykonania kodu lub odmowy usługi bez potrzeby dodatkowych uprawnień.
- CVE-2026-108860Krytyczne
BotSharp do wersji 5.2.0 zawiera podatność obejścia uwierzytelniania, która pozwala nieuwierzytelnionym zdalnym atakującym na sfałszowanie tokenów bearer przy użyciu zakodowanego na stałe klucza Jwt:Key w pliku appsettings.json WebStarter. Atakujący mogą podpisywać tokeny przy użyciu zakomentowanego sekretu HMAC oraz stałych wartości issuer i audience, aby podszyć się pod dowolnego znanego użytkownika, w tym administratora, na trasach API chronionych atrybutem Authorize.
- CVE-2026-108753Krytyczne
Agnaistic agnai do wersji 1.0.555 zawiera podatność związaną z zakodowanymi na stałe poświadczeniami w pliku self-host.docker-compose.yml, który ustawia stałe hasło administratora i publiczny sekret JWT. Nieuwierzytelnieni atakujący mogą zalogować się jako administrator lub podpisać własny token JWT z polem admin: true, aby podszyć się pod użytkowników, resetować hasła i zmieniać konfigurację serwera.
- CVE-2026-108576Krytyczne
Podatność znaleziona w TOZED X300 do wersji 6.01.3 dotyczy funkcji process_ping komponentu IPPingDiagnostics Handler. Manipulacja argumentem Host prowadzi do wstrzyknięcia komend systemu operacyjnego. Atak może być przeprowadzony zdalnie. Sprzedawca został wcześniej poinformowany o tym ujawnieniu, ale nie odpowiedział w żaden sposób.
- CVE-2026-86717Krytyczne
Wtyczka Insurify dla WordPressa do wersji 1.0 nie posiada kontroli autoryzacji i nonce na jednej z akcji AJAX, co pozwala nieuwierzytelnionym użytkownikom usuwać dowolne opcje WordPressa, co może spowodować wyłączenie witryny i pozbawienie wszystkich użytkowników ich ról.
- CVE-2026-86706Krytyczne
Wtyczka Quick quotes dla WordPressa do wersji 1.0.0 nie przeprowadza żadnej kontroli uprawnień ani nonce na jednej z akcji AJAX i pozwala wywołującemu wybrać, która opcja jest zapisywana, co umożliwia nieuwierzytelnionym użytkownikom zmianę dowolnych ustawień witryny i uczynienie jej niedostępną.
- CVE-2026-85121Krytyczne
Wtyczka Insurify dla WordPressa do wersji 1.0 nie posiada kontroli autoryzacji i nonce na jednej z akcji AJAX, co pozwala nieuwierzytelnionym użytkownikom tworzyć i nadpisywać dowolne opcje WordPressa danymi z żądania, co może spowodować wyłączenie witryny i dezaktywację wszystkich wtyczek Insurify.
- CVE-2026-85118Krytyczne
Wtyczka AI Content Generator Marketing dla WordPressa do wersji 1.0.0 nie egzekwuje kontroli nonce ani uprawnień na niektórych akcjach AJAX, co pozwala nieuwierzytelnionym użytkownikom aktualizować i usuwać dowolne opcje WordPressa, co może być wykorzystane do uzyskania dostępu administratora do witryny.
- CVE-2026-84737Krytyczne
Wtyczka Freeton WP dla WordPressa do wersji 1.0.0 nie poprawnie weryfikuje kodu aktywacyjnego podczas uwierzytelniania użytkownika, co pozwala nieuwierzytelnionym atakującym zalogować się jako dowolny użytkownik, którego adres e-mail znają, w tym administratorzy.
- CVE-2026-84734Krytyczne
Wtyczka Mindstien Quick Login dla WordPressa do wersji 1.0 nie poprawnie weryfikuje wartości dostarczonej w żądaniu względem sesji odwiedzającego przed uwierzytelnieniem, co pozwala nieuwierzytelnionym atakującym uzyskać sesję jako konto administratora, z którym skonfigurowana jest wtyczka.
Oryginalny opis (angielski, źródło NVD)
PyJWT is a JSON Web Token implementation in Python. From 2.9.0 to 2.12.1, there is a verifier-side algorithm allow-list bypass when jwt.decode() or jwt.decode_complete() are called with a PyJWK key. The token header alg is checked against the caller-supplied algorithms allow-list, but signature verification is performed with the algorithm bound to the PyJWK object instead of the header algorithm. An attacker who controls a registered JWK/JWKS private key can sign with a disallowed algorithm, advertise an allowed algorithm in the JWT header, and still be accepted. The issue affects the documented PyJWKClient.get_signing_key_from_jwt(...) flow. This vulnerability is fixed in 2.13.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS