Zaloguj się
Deutsch English Español Polski
Wysoka

PyJWT vulnerable to key confusion attacks

  • Ujawniono: 24.08.2017
  • Aktualizacja: 11.10.2026 12:18

In PyJWT 1.5.0 and below the invalid_strings check in HMACAlgorithm.prepare_key does not account for all PEM encoded public keys. Specifically, the PKCS1 PEM encoded format would be allowed because it is prefaced with the string -----BEGIN RSA PUBLIC KEY----- which is not accounted for. This enables symmetric/asymmetric key confusion attacks against users using the PKCS1 PEM encoded public keys, which would allow an attacker to craft JWTs from scratch.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Python (PyPI) pyjwt < 1.5.1 1.5.1

Odnośniki

Ocena CVSS 7.5/10
Wektor CVSS
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
Słabość (CWE)
-
Platforma
Python (PyPI)
Paczka
pyjwt
Ujawniono
24.08.2017
Aktualizacja
11.10.2026 12:18

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2017-24 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-r9jw-mwhq-wp62 - CC BY 4.0

Historia podatności: pyjwt

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (24) w archiwum
Wszystkich wpisów
24
Pierwsza → ostatnia
08.2017 09.2026
Bez poprawki
2
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 1
  • Wysoka 10
  • Średnia 11
  • Niska 2

Ujawnienia w latach

Istotność:
  1. PyJWT: PyJWK accepts empty HMAC keys, bypassing PyJWT's empty-key validation
    Wysoka · 7.4 CVE-2026-102266 >= 2.13.0, < 2.14.0 2.14.0
  2. PyJWT: Asymmetric-PEM detection bypass: whitespace/line-ending-mutated public keys skip the HS/asymmetric confusion guard
    Krytyczna · 9.1 CVE-2026-102268 < 2.14.0 2.14.0
  3. PyJWT accepts public JWK containers as HMAC secrets
    Wysoka · 7.4 CVE-2026-102273 >= 2.13.0, < 2.14.0 2.14.0
  4. PyJWT: PyJWKClient follows redirects when fetching JWKS
    Wysoka · 7.4 CVE-2026-102267 < 2.14.0 2.14.0
  5. PyJWT: Public keys in DER form are accepted as HMAC secrets, bypassing the CVE-2022-29217 guard
    Wysoka · 7.4 CVE-2026-102271 >= 2.4.0, < 2.14.0 2.14.0
  6. PyJWT BOM Bypass
    Wysoka · 7.4 CVE-2026-102272 >= 2.13.0, < 2.14.0 2.14.0
  7. PyJWT: Public-key JWK accepted as HMAC secret enables forged HS256 tokens when mixed families are allowed
    Wysoka · 7.4 CVE-2026-48526 < 2.13.0 2.13.0
  8. PyJWT accepts unknown `crit` header extensions
    Wysoka · 7.5 CVE-2026-32597 < 2.12.0 2.12.0
  9. pyjwt v2.10.1 was discovered to contain weak encryption. NOTE: this is disputed by the Supplier because the key length is chosen by the application that uses the library (admittedly, library users may
    Wysoka · 7.0 CVE-2025-45768 <= 2.10.1 brak poprawki
  10. Key confusion through non-blocklisted public key formats
    Wysoka · 7.4 CVE-2022-29217 >= 1.5.0, < 2.4.0 2.4.0
  11. PyJWT vulnerable to key confusion attacks ten wpis
    Wysoka · 7.5 CVE-2017-11424 < 1.5.1 1.5.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.