CVE-2026-101918 in PyJWT
Zusammenfassung
von VulDB • 29.09.2026
PyJWT ist eine Python-Implementierung der JSON Web Token-Standards. Von Version 2.0.0a1 bis 2.15.0 ist PyJWKClient.get_signing_key_from_jwt betroffen, da der Payload-Parser ValueError abfängt, RecursionError jedoch nicht. Dies tritt auf, wenn ein vom Angreifer kontrollierter, rekursiv verschachtelter Payload json.loads erreicht. Infolgedessen enthält die dokumentierte Ausnahmebehandlung von PyJWT diesen Fehler nicht. Folglich kann eine unauthentifizierte Anfrage eine Exception auslösen, die zu einer HTTP-500-Antwort führt. Die im Advisory definierte betroffene Implementierung umfasst auch jwt/api_jwt.py mit verify_signature=False. Dieses Problem wurde in Version 2.15.0 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.