PyJWTは、JSON Web Tokenの規格をPythonで実装したものです。バージョン2.14.0以前のPyJWTでは、`get_signing_key_from_jwt`という機能に問題があり、不明な`kid`が使用された場合に、キャッシュがないか、または最小リフレッシュ間隔が設定されていないと、強制的なリフレッシュが行われません。これは、認証されていないトークンが、キャッシュされたJWKSに存在しない同じ不明な`kid`または異なる`kid`値を繰り返し使用する場合に発生します。その結果、キャッシュミスが発生するたびに、PyJWKClientがJWKSをリフレッシュします。これにより、攻撃者が設定されたJWKSエンドポイントへのリクエストを増幅させることが可能になります。この問題は、バージョン2.14.0で修正されました。
CVSS 3.1: 7.5 (高い) (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H)