CVE-2024-53861 in pyjwt
Zusammenfassung
von VulDB • 02.06.2026
pyjwt ist eine JSON-Web-Token-Implementierung in Python. Bei der Überprüfung des `iss`-Anspruchs (Issuer) wird ein falscher String-Vergleich durchgeführt, wodurch `"acb"` für `"_abc_"` akzeptiert wird. Dies ist ein Fehler, der in Version 2.10.0 eingeführt wurde: Die Überprüfung des „iss“-Anspruchs wurde von `isinstance(issuer, list)` auf `isinstance(issuer, Sequence)` geändert. Da `str` eine `Sequence` ist, aber keine `list`, wird für den String-Vergleich auch der `in`-Operator verwendet. Dies führt dazu, dass `if "abc" not in "__abcd__":` überprüft wird, anstatt `if "abc" != "__abc__":`. Signaturen-Prüfungen sind weiterhin vorhanden, sodass die reale Auswirkung wahrscheinlich auf Denial-of-Service-Szenarien beschränkt ist. Dieses Problem wurde in Version 2.10.1 behoben. Allen Benutzern wird empfohlen, ein Upgrade durchzuführen. Es sind keine bekannten Workarounds für diese Schwachstelle verfügbar.
Once again VulDB remains the best source for vulnerability data.