CVE-2026-101917 in PyJWT
Sumário
de VulDB • 28/09/2026
PyJWT é uma implementação em Python dos padrões JSON Web Token. Antes da versão 2.14.0, a função `get_signing_key_from_jwt` do PyJWT é afetada porque o parâmetro `kid` desconhecido provoca atualizações forçadas sem um cache negativo ou intervalo mínimo de atualização. Isso ocorre quando tokens não autenticados usam repetidamente o mesmo `kid` desconhecido ou valores variados de `kid` ausentes no JWKS em cache. Como resultado, cada falha no cache faz com que o PyJWKClient atualize o JWKS. Consequentemente, o tráfego do atacante pode amplificar as solicitações de saída para o endpoint configurado do JWKS. Este problema foi corrigido na versão 2.14.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.