PyJWTは、JSON Web Tokenの規格をPythonで実装したものです。バージョン2.13.0から2.14.0までの期間において、HMACAlgorithm.from_jwkの機能に問題があり、これはPyJWKの検証処理において、復号されたキーに対してprepare_keyの検証が行われていなかったことが原因です。この問題は、信頼されたJWKセットに、kの値が空のoctエントリが含まれている場合に発生します。その結果、攻撃者は、PyJWTが受け入れるゼロ長のキーを使用して、HMACトークンに署名することができます。これにより、偽造されたトークンに、任意の認証情報を含めることが可能になります。この問題は、バージョン2.14.0で修正されました。
CVSS 3.1: 9.1 (重大) (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N)