JVNDB-2026-017758

PyJWT projectのPyJWTにおけるリソースの枯渇に関する脆弱性

PyJWTはPythonでのJSON Webトークンの実装です。バージョン2.8.0から2.12.1において、非エンコードペイロードオプション（"b64": false、RFC 7797）を使用して分離JWSトークンの検証を行う際に、PyJWTは分離ペイロードルールを適用する前にコンパクトシリアライゼーションのペイロードセグメントをBase64URLデコードします。b64=falseの場合、PyJWTは後でそのデコードされたペイロードを破棄し、呼び出し元が提供したdetached_payloadと置き換えます。実際には、これは中間のセグメントを攻撃者が制御する“作業増幅器”に変換します。リモートクライアントは任意の大きさのBase64URLペイロードセグメントを提供可能であり、署名が無効であってもCPUの作業量とメモリアロケーションを強制します。これにより、PyJWTを使用して分離JWSを検証する任意のエンドポイントに対して認証されていないDoS攻撃のベクターが作成されます。この脆弱性はバージョン2.13.0で修正されました。

PyJWT project

• PyJWT 2.8.0 から 2.12.1

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアの一部が停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Unauthenticated DoS via unbounded Base64URL decoding of unused payload segment in b64=false detached JWS  Advisory  jpadilla/pyjwt  GitHub

1. リソースの枯渇(CWE-400) [その他]

1. CVE-2026-48525

1. National Vulnerability Database (NVD) : CVE-2026-48525

• [2026年06月04日]
    掲載