Podatności PyJWT
3 znanych podatności CVE w PyJWT, przetłumaczonych i ocenionych.
- CVE-2017-11424Wysokie
W wersjach PyJWT 1.5.0 i wcześniejszych, sprawdzenie `invalid_strings` w `HMACAlgorithm.prepare_key` nie uwzględnia wszystkich kluczy publicznych zakodowanych w formacie PEM. Szczególnie format PKCS1 PEM jest dozwolony, co umożliwia ataki związane z myleniem kluczy symetrycznych i asymetrycznych.
- CVE-2026-48526Wysokie
Biblioteka PyJWT w Pythonie przed wersją 2.13.0 nie weryfikuje użycia kluczy JSON Web Key w algorytmie HMAC, co pozwala atakującemu użyć publicznego klucza wydawcy jako tajnego klucza HMAC.
- CVE-2026-32597Wysokie
PyJWT przed wersją 2.12.0 nie waliduje parametru crit (Critical) zdefiniowanego w RFC 7515. Gdy token JWS zawiera tablicę crit z rozszerzeniami, których PyJWT nie rozumie, biblioteka akceptuje token zamiast go odrzucić, co narusza wymaganie MUST z RFC.