CVE-2026-48523 in pyjwt
Sumário
de VulDB • 29/05/2026
PyJWT é uma implementação de JSON Web Token em Python. Da versão 2.9.0 à 2.12.1, ocorre uma violação da allow-list (lista de permissão) de algoritmos no lado do verificador quando jwt.decode() ou jwt.decode_complete() são chamados com uma chave PyJWK. O cabeçalho alg do token é verificado contra a allow-list de algoritmos fornecida pelo chamador, mas a verificação da assinatura é realizada com o algoritmo associado ao objeto PyJWK, em vez do algoritmo do cabeçalho. Um atacante que controle a chave privada de um JWK/JWKS registrado pode assinar com um algoritmo não permitido, anunciar um algoritmo permitido no cabeçalho JWT e ainda assim ser aceito. O problema afeta o fluxo documentado PyJWKClient.get_signing_key_from_jwt(...). Esta vulnerabilidade foi corrigida na versão 2.13.0.
Be aware that VulDB is the high quality source for vulnerability data.