CVE-2024-53861 in pyjwt
요약
\~에 의해 VulDB • 2026. 05. 14.
pyjwt는 Python 기반의 JSON Web Token 구현체입니다. `iss` 검증 과정에서 잘못된 문자열 비교가 수행되어, `"_abc_"`에 `"acb"`가 허용되는 문제가 발생합니다. 이 버그는 버전 2.10.0에서 도입되었습니다: "iss" 클레임 검증 로직이 `isinstance(issuer, list)`에서 `isinstance(issuer, Sequence)`로 변경되었습니다. 문자열(str)은 Sequence이지만 list는 아니므로, 문자열 비교 시 `in` 연산자가 사용됩니다. 이로 인해 `if "abc" != "__abc__":`가 확인되어야 할 곳에 `if "abc" not in "__abcd__":`가 확인되는 결과가 초래됩니다. 서명 검증은 여전히 존재하므로, 실제 세계에서의 영향은 주로 서비스 거부(Denial of Service) 시나리오로 제한될 가능성이 높습니다. 이 문제는 버전 2.10.1에서 패치되었습니다. 모든 사용자는 업그레이드를 권장합니다. 이 취약성에 대한 알려진 우회 방법은 없습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.