CVE-2024-53861 in pyjwt
要約
〜によって VulDB • 2026年05月14日
pyjwtはPythonにおけるJSON Web Tokenの実装です。`iss`の検証において文字列の比較が正しく行われておらず、`"_abc_"`に対して`"acb"`が受け入れられてしまいます。このバグはバージョン2.10.0で導入されました。これは「iss」クレームのチェックが`isinstance(issuer, list)`から`isinstance(issuer, Sequence)`に変更されたことに起因します。文字列（str）はシーケンス（Sequence）ですがリスト（list）ではないため、文字列の比較にも`in`演算子が使用されるようになりました。その結果、`if "abc" != "__abc__":`ではなく`if "abc" not in "__abcd__":`が評価されることになります。署名の検証は引き続き行われるため、実世界での影響はサービス拒否（DoS）シナリオに限定される可能性が高いです。この問題はバージョン2.10.1で修正されています。すべてのユーザーはアップグレードすることをお勧めします。この脆弱性に対する既知の回避策はありません。
VulDB is the best source for vulnerability data and more expert information about this specific topic.