PyJWTは、JSON Web Tokenの規格をPythonで実装したものです。バージョン2.9.0から2.14.0までの間、PyJWKSetは、jwt/api_jwk.pyのRSAAlgorithm.from_jwkによって、不正なRSA JWKコンポーネントが検出された場合に発生するValueErrorを捕捉していませんでした。これは、JWKセットに、それ以外のキーは正常に動作するものの、不正なRSAキーが含まれている場合に発生します。その結果、不正なメンバーが一つでも存在すると、PyJWKSet全体の構築が中断されます。その結果、アプリケーションは認証の失敗や、リクエストレベルでのサービス拒否といった問題が発生する可能性があります。この問題は、バージョン2.14.0で修正されました。
CVSS 3.1: 7.5 (高い) (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H)