CVE-2026-48524
Publiée le 2026-05-28 · Dernière modification le 2026-10-26
Les applications Python utilisant la bibliothèque PyJWT (avant la version 2.13.0) sont vulnérables à un problème d'épuisement des ressources. Un attaquant distant non authentifié peut envoyer des jetons avec de faux identifiants pour forcer votre serveur à effectuer un nombre excessif de requêtes HTTP sortantes, ce qui pourrait ralentir votre système. Cette attaque est difficile à exécuter de manière fiable car elle dépend de la façon dont le serveur de clés externe gère le trafic, et elle ne permet pas à l'attaquant de voler des données ou d'accéder à votre système.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
PyJWT is a JSON Web Token implementation in Python. Prior to 2.13.0, PyJWKClient.get_signing_key() forces a fresh HTTP request to the JWKS endpoint for every JWT with an unknown kid value, with no rate limiting. Since kid comes from the unverified token header, an attacker can trigger unlimited outbound requests. The vulnerability surfaces only when a JWKS fetch fails; an attacker can attempt to provoke that with sustained unknown-kid traffic, but the outcome depends on upstream JWKS-endpoint behavior (rate limiting, transient errors) which is beyond the attacker's control. This vulnerability is fixed in 2.13.0.