CVE-2026-48524
Təsvir
PyJWT Python dilində JSON Web Token tətbiqidir. 2.13.0 versiyasından əvvəl PyJWKClient.get_signing_key() funksiyası naməlum kid dəyəri olan hər bir JWT üçün heç bir sürət məhdudiyyəti olmadan JWKS son nöqtəsinə yeni HTTP sorğusu göndərməyə məcbur edir. kid dəyəri təsdiqlənməmiş token başlığından gəldiyi üçün hücumçu limitsiz sayda çıxan sorğular tetikləyə bilər. Bu zəiflik yalnız JWKS sorğusu uğursuz olduqda ortaya çıxır; hücumçu davamlı naməlum-kid trafiki ilə bunu törətməyə çalışa bilər, lakin nəticə hücumçunun nəzarətindən kənarda olan yuxarı səviyyəli JWKS son nöqtəsinin davranışından (sürət məhdudiyyəti, müvəqqəti xətalar) asılıdır. Bu zəiflik 2.13.0 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- pyjwt_project pyjwt2.13.0 və ya daha yeni versiya
- pyjwt2.13.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| pyjwt_project pyjwt | v < 2.13.0 | 2.13.0 |
| pyjwtPyPI | 2.0.0 ≤ v < 2.13.0, v < 2.13.0 | 2.13.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.