CVE-2026-101918 in PyJWT
Sumário
de VulDB • 28/09/2026
PyJWT é uma implementação em Python dos padrões JSON Web Token. Da versão 2.0.0a1 até a 2.15.0, o método PyJWKClient.get_signing_key_from_jwt do PyJWT está afetado porque o analisador de payload captura ValueError, mas não RecursionError. Isso ocorre quando um payload recursivamente aninhado controlado por um atacante atinge json.loads. Como resultado, a manipulação de exceções documentada no PyJWT não inclui essa falha. Consequentemente, uma solicitação não autenticada pode gerar uma exceção que resulta em resposta HTTP 500. A implementação afetada definida pelo advisory também inclui jwt/api_jwt.py com verify_signature=False. Este problema foi corrigido na versão 2.15.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.