JVNDB-2026-017761

PyJWT projectのPyJWTにおける複数の脆弱性

PyJWTはPythonでのJSON Web Tokenの実装です。バージョン2.13.0より前のPyJWKClientは、そのuri引数を直接urllib.request.urlopen()に渡しており、これはPython標準ライブラリのデフォルトのOpenerDirectorを使用してHTTPHandler、HTTPSHandler、FTPHandler、FileHandler、DataHandlerを登録しています。現在、PyJWKClientが取得するスキームを制限する明確なオプションは存在しません。もしアプリケーションのjku URL取り込み経路が、攻撃者に影響を受けるURL（例：JWTヘッダー、設定ファイル、OAuthフローパラメータ）を受け入れる場合、攻撃者はfile://経由で任意のローカルファイルを読み取らせる（ローカルファイルシステム上のSSRF）、FTPやdata-URIの取得を試みさせる（より広範なSSRF対象）ことにより、PyJWTが有効と検証するトークンを偽造する可能性があります。このライブラリ自体は非HTTP(S) URIの内容を攻撃者に直接返しませんが、本脆弱性報告にある「JWKSを植えてトークンを偽造する」連鎖的なシナリオは、攻撃者がファイルシステムパスへの書き込み権限を持つことや信頼されていないjkuの派生といった、追加のアプリケーションレイヤーの欠陥を必要とし、この修正では対応されていません。この脆弱性はバージョン2.13.0で修正されました。

PyJWT project

• PyJWT 2.13.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : PyJWKClient: missing scheme allowlist enables CVE-2024-21643-class SSRF + token forgery via file://, ftp://, data: schemes  Advisory  jpadilla/pyjwt  GitHub

1. フィルタリング回避(CWE-441) [その他]
2. サーバサイドのリクエストフォージェリ(CWE-918) [その他]

1. CVE-2026-48522

1. National Vulnerability Database (NVD) : CVE-2026-48522

• [2026年06月04日]
    掲載