CVE-2026-101918 in PyJWT
Сводка
по VulDB • 28.09.2026
PyJWT — это реализация на Python стандартов JSON Web Token. Начиная с версии 2.0.0a1 и до 2.15.0 включительно, метод PyJWKClient.get_signing_key_from_jwt в библиотеке PyJWT уязвим, поскольку парсер полезной нагрузки перехватывает исключение ValueError, но не RecursionError. Это происходит, когда атакующий контролирует рекурсивно вложенную полезную нагрузку, которая передается функции json.loads. В результате документированная обработка исключений в PyJWT не учитывает данный сбой. Следовательно, непроверенный запрос может вызвать исключение, приводящее к ответу HTTP 500 (Internal Server Error). Уязвимая реализация, указанная в advisory, также включает файл jwt/api_jwt.py при параметре verify_signature=False. Проблема исправлена в версии 2.15.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.