PyJWTは、JSON Web Token（JWT）の規格をPythonで実装したものです。バージョン2.1.0から2.15.0までのPyJWTにおいて、jwt/algorithms.pyの`OKPAlgorithm.from_jwk`に脆弱性があり、これは、秘密鍵のJWKをインポートする際に、dから派生した公開鍵とxが比較されないことが原因です。この問題は、OKPの秘密鍵JWKが、対応しないxとdの要素を持つ場合に発生します。その結果、xから派生したIDが、dを使用して実行される操作と異なる可能性があります。したがって、もしシステムが、証明ヘッダーから秘密鍵のパラメータを受け入れる場合、攻撃者は、正規の秘密鍵を持たない、送信者制限付きのトークンを不正に使用する可能性があります。この問題は、バージョン2.15.0で修正されました。
CVSS 3.1: 8.2 (高) (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:N)