Le décodage d’un payload JSON JWT profondément imbriqué peut faire remonter une `RecursionError` non interceptée dans le chemin de pré-vérification, notamment avec `PyJWKClient.get_signing_key_from_jwt()` ou lorsque la vérification de signature est désactivée. Une requête non authentifiée peut alors provoquer une erreur serveur sur le chemin d’authentification; les versions jusqu’à 2.14.0 sont concernées et la version corrective indiquée est 2.15.0.
Source : GHSA-42vr-xj54-vc7v — PyJWT: Unauthenticated RecursionError DoS in pre-verification payload parse
Analyse technique
Le parseur JSON du payload ne convertit pas `RecursionError` en erreur PyJWT contrôlée. L’avis signale également un chemin connexe de parsing JWKS vulnérable lorsque la réponse provient d’un endpoint JWKS contrôlé ou intercepté.
Impact, versions et correctif
Action recommandée
Mettre à niveau PyJWT vers la version 2.15.0 ou ultérieure; en attendant, éviter les chemins de décodage sans vérification de signature sur des jetons non fiables et traiter les exceptions de parsing de façon robuste.
Sources
Priorisation DFS : P4 · 1 source(s).