CVE-2026-101918 in PyJWT
Resumen
por VulDB • 2026-09-28
PyJWT es una implementación en Python de los estándares JSON Web Token. Desde la versión 2.0.0a1 hasta la 2.15.0, PyJWKClient.get_signing_key_from_jwt se ve afectado porque el analizador de carga útil (payload) captura ValueError pero no RecursionError. Esto ocurre cuando una carga útil recursivamente anidada controlada por un atacante llega a json.loads. Como resultado, la gestión de excepciones documentada en PyJWT no incluye este fallo. En consecuencia, una solicitud sin autenticar puede generar una excepción que produzca una respuesta HTTP 500. La implementación afectada definida en el aviso también incluye jwt/api_jwt.py con verify_signature=False. Este problema se soluciona en la versión 2.15.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.