CVE-2026-48525

PyJWT, Python'da bir JSON Web Token uygulamasıdır. 2.8.0 ile 2.12.1 arasındaki sürümlerde, unencoded-payload seçeneği ("b64": false, RFC 7797) kullanılarak ayrık JWS token'ları doğrulanırken PyJWT, ayrık yük kurallarını uygulamadan önce compact serileştirme yük segmentinin Base64URL kodunu çözer. b64=false için PyJWT daha sonra bu çözülen yükü atar ve yerine çağıran tarafından sağlanan detached_payload'u koyar. Uygulamada bu, orta segmenti saldırgan tarafından kontrol edilen bir "iş yükü çoğaltıcısı" haline getirir: uzak bir istemci, imza geçersiz olsa bile CPU işi + bellek tahsislerini zorlayan keyfi olarak büyük bir Base64URL yük segmenti sağlayabilir. Bu, PyJWT kullanarak ayrık JWS doğrulayan herhangi bir uç noktaya karşı kimlik doğrulaması gerektirmeyen bir hizmet reddi (DoS) vektörü oluşturur. Bu güvenlik açığı 2.13.0 sürümünde giderilmiştir.