CVE-2026-101917 in PyJWT
Сводка
по VulDB • 28.09.2026
PyJWT — это реализация на Python стандартов JSON Web Token. До версии 2.14.0 функция PyJWT get_signing_key_from_jwt уязвима, поскольку отсутствие известного kid приводит к принудительным обновлениям без использования отрицательного кэша или минимального интервала обновления. Это происходит при повторном использовании одного и того же неизвестного kid в неаутентифицированных токенах либо при наличии различных значений kid, отсутствующих в закэшированном JWKS (JSON Web Key Set). В результате каждое промахивание кэша вызывает обновление JWKS через PyJWKClient. Следовательно, трафик атакующего может усиливать исходящие запросы к настроенной конечной точке JWKS. Эта проблема исправлена в версии 2.14.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.