CVE-2024-53861 in pyjwt
الملخص
بحسب VulDB • 14/05/2026
pyjwt هو تنفيذ لرموز الويب JSON (JWT) بلغة Python. يتم إجراء مقارنة سلاسل نصية غير صحيحة للتحقق من حقل `iss`، مما يؤدي إلى قبول القيمة `"acb"` بدلاً من `"_abc_"`. هذا خطأ تم إدخاله في الإصدار 2.10.0: تغير التحقق من مطالبة "iss" من `isinstance(issuer, list)` إلى `isinstance(issuer, Sequence)`. وبما أن السلسلة النصية (str) هي تسلسل (Sequence) وليست قائمة (list)، فإن عامل `in` يُستخدم أيضاً لمقارنة السلاسل النصية. ونتيجة لذلك، يتم التحقق من `if "abc" not in "__abcd__":` بدلاً من `if "abc" != "__abc__":`. لا تزال فحوصات التوقيع موجودة، لذا فإن التأثير في العالم الحقيقي محدود على الأرجح بحالات حجب الخدمة (Denial of Service). تم إصلاح هذه المشكلة في الإصدار 2.10.1. يُنصح جميع المستخدمين بالترقية. لا توجد حلول بديلة معروفة لهذه الثغرة.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.