Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - PyJWT 是 Python 中的 JSON Web Token 实现。从 2.9.0 到 2.12.1，使用 PyJWK 密钥调用 jwt.decode（） 或 jwt.decode_complete（） 时，存在验证器端算法允许列表绕过。会根据调用方提供的算法允许列表检查令牌标头 alg，但签名验证是使用绑定到 PyJWK 对象的算法执行，而非标头算法。控制已注册 JWK/JWKS 私钥的攻击者可以使用禁用的算法签名、在 JWT 标头中公告允许的算法，并且仍然可被接受。此问题会影响记录的 PyJWKClient.get_signing_key_from_jwt（...） 流。此漏洞已在 2.13.0 中修复。(CVE-2026-48523)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2026-48523

medium Nessus 插件 ID 317757

版本 1.7