CVE-2026-48523
Təsvir
PyJWT, Python dilində JSON Web Token tətbiqidir. 2.9.0 və 2.12.1 versiyaları arasında, jwt.decode() və ya jwt.decode_complete() funksiyaları PyJWK açarı ilə çağırıldıqda yoxlayıcı tərəfdə alqoritmlərin icazəli siyahısının yan keçilməsi problemi mövcuddur. Token başlığındakı alg sahəsi çağıran tərəfindən təqdim edilən alqoritmlərin icazəli siyahısına qarşı yoxlanılır, lakin imzanın doğrulanması başlıqdakı alqoritm əvəzinə PyJWK obyektinə bağlı olan alqoritmlə həyata keçirilir. Qeydiyyatdan keçmiş JWK/JWKS gizli açarını idarə edən hücumçu, icazə verilməyən alqoritmlə imza ata bilər, JWT başlığında icazə verilən alqoritmi göstərə bilər və yenə də qəbul edilə bilər. Bu problem sənədləşdirilmiş PyJWKClient.get_signing_key_from_jwt(...) axınına təsir göstərir. Bu zəiflik 2.13.0 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- pyjwt_project pyjwt2.13.0 və ya daha yeni versiya
- pyjwt2.13.0, 2.12.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| pyjwt_project pyjwt | 2.9.0 ≤ v < 2.13.0 | 2.13.0 |
| pyjwtPyPI | 2.9.0 ≤ v < 2.13.0, 2.9.0 ≤ v < 2.12.1 | 2.13.0, 2.12.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.