CVE-2026-101917 in PyJWT
要約
〜によって VulDB • 2026年09月28日
PyJWTはJSON Web Token標準のPython実装です。バージョン2.14.0より前では、PyJWTの `get_signing_key_from_jwt` が影響を受けます。これは、不明な kid（キーID）がネガティブキャッシュや最小リフレッシュ間隔なしで強制リフレッシュを引き起こすためです。この問題は、認証されていないトークンが同じ不明な kid を繰り返し使用するか、またはキャッシュされたJWKSに存在しない可変の kid 値を使用する際に発生します。その結果、各キャッシュミスにより PyJWKClient が JWKS のリフレッシュを実行します。これにより、攻撃者のトラフィックは構成済みの JWKS エンドポイントへの送信要求を増幅させることができます。この問題はバージョン2.14.0で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.