Veille sécuritéBackend & données
P4Moyenne
Un en-tête JWT profondément imbriqué peut provoquer une `RecursionError` non convertie en erreur PyJWT attendue lors du décodage, entraînant notamment une réponse serveur 500 dans certaines intégrations. L’avis indique comme plage affectée PyJWT à partir de 2.13.0 et avant 2.14.0, cette dernière étant la version corrigée.
Python
IdentifiantCVE-2026-102265
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif2.14.0
Source : GHSA-8wjv-2p76-3863 — uncaught RecursionError in jwt.decode()
Analyse technique
L’analyse JSON de l’en-tête intervient avant la vérification de signature ; une entrée suffisamment imbriquée peut faire remonter `RecursionError` hors de la hiérarchie d’exceptions PyJWT.
Impact, versions et correctif
Événement datéL’avis indique 2026-09-29T23:43:06Z, soit 2026-09-30T01:43:06+02:00, dans l’intervalle retenu.
ImpactDéni de service applicatif possible sur les points de validation JWT qui laissent remonter cette exception.
Versions affectées>= 2.13.0, < 2.14.0
Version corrigée2.14.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
Publication2026-09-30T01:43:06+02:00
Mise à jour2026-09-30T01:43:07+02:00
Action recommandée
Mettre à niveau vers PyJWT 2.14.0.
Sources
Priorisation DFS : P4 · 1 source(s).