CVE-2026-48522

PyJWT, Python dilində JSON Web Token tətbiqidir. 2.13.0 versiyasından əvvəl PyJWKClient öz uri arqumentini birbaşa urllib.request.urlopen() funksiyasına ötürür və bu funksiya Python standart kitabxanasının HTTPHandler, HTTPSHandler, FTPHandler, FileHandler və DataHandler-i qeydiyyata alan standart OpenerDirector-dan istifadə edir. Hazırda PyJWKClient-in hansı sxemləri götürəcəyini məhdudlaşdırmaq üçün sənədləşdirilmiş heç bir seçim yoxdur. Əgər tətbiqin jku URL qəbul etmə yolu hücum edən şəxs tərəfindən təsir edilə bilən URL-ləri (məsələn, JWT başlığından, konfiqurasiya faylından, OAuth axın parametrindən) qəbul edirsə, hücum edən şəxs file:// vasitəsilə PyJWKClient-in ixtiyari lokal faylları oxumasına səbəb ola bilər (lokal fayl sistemi üzərində SSRF), PyJWKClient-in FTP / data-URI sorğuları etməsinə səbəb ola bilər (daha geniş SSRF sahəsi) və ya PyJWT tərəfindən etibarlı kimi yoxlanılan saxta tokenlər yarada bilər. Kitabxana HTTP(S)-dən kənar URI məzmunlarını birbaşa hücum edən şəxsə qaytarmır; orijinal hesabatda təsvir olunan zəncirvari "tokenləri saxtalaşdırmaq üçün JWKS yerləşdirmək" ssenarisi, bu düzəlişin həll etmədiyi əlavə tətbiq səviyyəli çatışmazlıqlar (hücum edənin fayl sistemi yoluna yazı girişi, etibarsız jku törətməsi) tələb edir. Bu boşluq 2.13.0 versiyasında aradan qaldırılıb.