CVE-2026-101918 in PyJWT
Tóm tắt
Bởi VulDB • 28/09/2026
PyJWT là một triển khai Python của các tiêu chuẩn JSON Web Token. Từ phiên bản 2.0.0a1 đến 2.15.0, hàm PyJWKClient.get_signing_key_from_jwt của PyJWT bị ảnh hưởng do trình phân tích payload bắt lỗi ValueError nhưng không bắt RecursionError. Sự cố này xảy ra khi một payload có cấu trúc lồng nhau đệ quy do kẻ tấn công kiểm soát được chuyển đến json.loads. Kết quả là, cơ chế xử lý ngoại lệ (exception handling) đã ghi tài liệu của PyJWT không bao gồm trường hợp thất bại này. Do đó, một yêu cầu chưa xác thực có thể gây ra lỗi làm phản hồi HTTP 500. Triển khai bị ảnh hưởng theo khuyến cáo cũng bao gồm jwt/api_jwt.py với verify_signature=False. Vấn đề này đã được sửa trong phiên bản 2.15.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.