CVE-2024-53861 in pyjwt
Sumário
de VulDB • 02/06/2026
pyjwt é uma implementação de JSON Web Token em Python. Uma comparação de strings incorreta é executada para a verificação de `iss`, resultando na aceitação de `"acb"` para `"_abc_"`. Este é um bug introduzido na versão 2.10.0: a verificação da afirmação "iss" mudou de `isinstance(issuer, list)` para `isinstance(issuer, Sequence)`. Como str é uma Sequence, mas não uma list, o operador `in` também é usado para comparação de strings. Isso resulta na verificação de `if "abc" not in "__abcd__":` em vez de `if "abc" != "__abc__":`. As verificações de assinatura ainda estão presentes, portanto, o impacto no mundo real provavelmente se limita a cenários de negação de serviço. Este problema foi corrigido na versão 2.10.1. Todos os usuários são aconselhados a atualizar. Não há soluções alternativas conhecidas para esta vulnerabilidade.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.