CVE-2026-102270
Publiée le 2026-09-28 · Dernière modification le 2026-10-06
Les applications Python utilisant des versions de PyJWT antérieures à la 2.14.0 sont vulnérables à une attaque par déni de service. Un attaquant authentifié disposant d'un accès réseau peut envoyer un certificat spécifiquement conçu qui provoque une hausse brutale de l'utilisation du processeur du serveur, pouvant ainsi figer l'application. Comme cela nécessite des privilèges élevés et une structure d'entrée spécifique, le risque d'exploitation accidentelle ou externe est relativement faible.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
PyJWT is a Python implementation of JSON Web Token standards. Prior to 2.14.0, PyJWT is_pem_format is affected because lazy PEM regular expression backtracks extensively. This occurs when a certificate-like input contains repeated BEGIN markers without a matching END marker. As a result, is_pem_format performs unbounded backtracking while searching for a PEM end marker. Consequently, an attacker can cause intensive CPU consumption. This issue is fixed in version 2.14.0.