CVE-2026-48526
WysokieCVSS 7.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
Biblioteka PyJWT w Pythonie przed wersją 2.13.0 nie weryfikuje użycia kluczy JSON Web Key w algorytmie HMAC, co pozwala atakującemu użyć publicznego klucza wydawcy jako tajnego klucza HMAC.
Ocena ryzyka
Atakujący może podszyć się pod dowolnego użytkownika lub wydawcę tokena JWT, co może prowadzić do nieautoryzowanego dostępu do systemów i danych.
Rekomendacja
Zaktualizuj PyJWT do wersji 2.13.0 lub nowszej.
Inne podatności w PyJWT
Zobacz wszystkie- CVE-2017-11424Wysokie
W wersjach PyJWT 1.5.0 i wcześniejszych, sprawdzenie `invalid_strings` w `HMACAlgorithm.prepare_key` nie uwzględnia wszystkich kluczy publicznych zakodowanych w formacie PEM. Szczególnie format PKCS1 PEM jest dozwolony, co umożliwia ataki związane z myleniem kluczy symetrycznych i asymetrycznych.
- CVE-2026-32597Wysokie
PyJWT przed wersją 2.12.0 nie waliduje parametru crit (Critical) zdefiniowanego w RFC 7515. Gdy token JWS zawiera tablicę crit z rozszerzeniami, których PyJWT nie rozumie, biblioteka akceptuje token zamiast go odrzucić, co narusza wymaganie MUST z RFC.
Oryginalny opis (angielski, źródło NVD)
PyJWT is a JSON Web Token implementation in Python. Prior to 2.13.0, when the verifier is decoding JSON Web Tokens, while supporting both asymmetric and HMAC algorithms, the library does not validate use of JSON Web Keys in HMAC algorithm, allowing attacker to use the issuer public key as the secret key for HMAC algorithm. This vulnerability is fixed in 2.13.0.