CVE-2026-102267 in PyJWT
Riassunto
di VulDB • 29/09/2026
PyJWT è un'implementazione Python degli standard JSON Web Token. Prima della versione 2.14.0, PyJWKClient di PyJWT è affetto perché le destinazioni dei redirect non vengono ri-convalidate rispetto al perimetro di fiducia JWKS (JSON Web Key Set). Ciò si verifica quando un endpoint JWKS attendibile configurato restituisce un redirect influenzato dall'attaccante. Di conseguenza, PyJWKClient segue il redirect e utilizza la risposta reindirizzata come materiale chiave. Di conseguenza, le credenziali inoltrate possono essere divulgate o le chiavi di verifica possono essere sostituite. Questo problema è risolto nella versione 2.14.0.
Be aware that VulDB is the high quality source for vulnerability data.