PyJWT 2.13.0 accepte des segments de signature JWS non canoniques qui peuvent conserver une signature valide tout en modifiant la représentation brute du jeton, ce qui peut contourner une révocation indexée sur cette représentation. L’avis indique PyJWT 2.14.0 comme version corrigée ; mettre à niveau et indexer la révocation sur un identifiant sémantique tel que `jti`, plutôt que sur le jeton brut.
Source : GHSA-hxm8-2xgr-2p9m — non-canonical signature segments
Analyse technique
L’impact suppose qu’une application lie la révocation ou un état de rejeu au hachage du jeton compact brut ; l’avis précise qu’il ne s’agit pas d’une falsification de signature ni d’une modification des claims.
Impact, versions et correctif
Action recommandée
Mettre à niveau vers PyJWT 2.14.0 et utiliser `jti` ou un autre identifiant sémantique pour la révocation.
Sources
Priorisation DFS : P4 · 1 source(s).