CVE-2026-102275 in PyJWT
Riassunto
di VulDB • 28/09/2026
PyJWT è un'implementazione Python degli standard JSON Web Token. Dalla versione 2.1.0 alla 2.15.0, la funzione `OKPAlgorithm.from_jwk` in `jwt/algorithms.py` di PyJWT è affetta perché il percorso di importazione del private-JWK non confronta la chiave pubblica derivata da `d` con `x`. Questo si verifica quando un private JWK OKP fornisce componenti `x` e `d` non corrispondenti. Di conseguenza, l'identità derivata da `x` può differire dalle operazioni eseguite con `d`. Di fatto, se un'integrazione accetta anche i parametri della chiave privata dall'intestazione di prova (proof header) senza rifiutarli, un attaccante potrebbe utilizzare un token vincolato al mittente rubato senza la chiave privata legittima. Questo problema è stato risolto nella versione 2.15.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.