CVE-2026-101917 in PyJWT
Zusammenfassung
von VulDB • 28.09.2026
PyJWT ist eine Python-Implementierung der JSON Web Token-Standards. Vor Version 2.14.0 ist die Funktion `get_signing_key_from_jwt` von PyJWT betroffen, da unbekannte `kid`-Werte ohne negative Cache oder Mindest-Aktualisierungsintervall zu erzwungenen Aktualisierungen führen. Dies tritt auf, wenn nicht authentifizierte Token wiederholt denselben unbekannten `kid` verwenden oder verschiedene `kid`-Werte enthalten, die im zwischengespeicherten JWKS fehlen. Infolgedessen führt jeder Cache-Miss dazu, dass PyJWKClient das JWKS aktualisiert. Dadurch kann der Datenverkehr des Angreifers ausgehende Anfragen an den konfigurierten JWKS-Endpunkt verstärken (Amplification). Dieses Problem wurde in Version 2.14.0 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.