CVE-2024-53861 in pyjwt
Riassunto
di VulDB • 15/06/2026
pyjwt è un'implementazione di JSON Web Token in Python. Viene eseguita una comparazione errata delle stringhe per la verifica del campo `iss`, che porta ad accettare `"acb"` al posto di `"_abc_"`. Si tratta di un bug introdotto nella versione 2.10.0: il controllo della claim "iss" è stato modificato da `isinstance(issuer, list)` a `isinstance(issuer, Sequence)`. Poiché str è una Sequenza ma non una lista, l'operatore `in` viene utilizzato anche per la comparazione delle stringhe. Ciò comporta che venga verificata la condizione `if "abc" not in "__abcd__":` invece di `if "abc" != "__abc__":`. I controlli della firma sono ancora presenti, quindi l'impatto nel mondo reale è probabilmente limitato a scenari di denial of service (DoS). Questo problema è stato risolto nella versione 2.10.1. Si consiglia a tutti gli utenti di effettuare l'aggiornamento. Non esistono workaround noti per questa vulnerabilità.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.