因此，该软件受到 ALAS2023-2026-3298 公告中提及的多个漏洞影响。

    在 PyJWT 中发现一个缺陷。远程攻击者可通过提交包含未知密钥标识符的标记，通过出站请求放大触发拒绝服务 （DoS）。由于提取签名密钥时库未缓存查找失败或强制执行最小刷新间隔，因此每个无效密钥标识符都会强制向远程 JSON Web 密钥集 （JWKS） 服务器发出新请求。这允许攻击者耗尽网络资源并淹没已配置的身份验证端点。（CVE-2026-101917）

    在 PyJWT 中发现一个缺陷。在签名验证前处理 JSON Web Token （JWT） 时，解析器无法正确处理深度嵌套数据，从而导致未处理的递归错误。未经认证的远程攻击者可利用此缺陷，通过提交特别构建的标记，造成应用程序引发非预期服务器异常，并导致拒绝服务 （DoS）。
    (CVE-2026-101918)

    在 pyjwt 中发现一个缺陷。远程攻击者可伪造认证标记并用空密钥签名标记来绕过安全控制。针对包含空的基于哈希的消息认证代码 （HMAC） 密钥的 JSON Web Key （JWK） 集验证标记时，库无法强制执行密钥长度验证。这允许攻击者生成带有任意声明的有效标记，从而获取未经授权的访问权限。（CVE-2026-102266）

    PyJWT 是 JSON Web Token 标准的 Python 实现。在版本 2.14.0之前，PyJWT PyJWKClient 会受到影响，因为重定向目的地未针对 JWKS 信任边界重新验证。当已配置的受信任 JWKS 端点返回受攻击者影响的重定向时，便会发生此情况。因此，PyJWKClient 会遵循重定向，并将重定向的响应作为密钥材料使用。因此，转发的凭据可能被泄露，或验证密钥可能被替换。此问题已在 2.14.0 版本中修复。(CVE-2026-102267)

    PyJWT 是 JSON Web Token 标准的 Python 实现。在之前 2.14.0版本中，jwt/utils.py 中的 is_pem_format 受到影响，因为 is_pem_format 无法识别加密加载程序接受的每一个 PEM 表示法。当应用程序混合使用 HMAC 和非对称算法，并提供可变的公钥 PEM 作为原始密钥字节时，便会发生这种情况。因此，HMACAlgorithm.prepare_key 将无法识别的非对称公钥视为 HMAC 密码。因此，了解公钥的攻击者可伪造经认证的 HMAC 标记。此问题已在 2.14.0 版本中修复。(CVE-2026-102268)

    PyJWT 是 JSON Web Token 标准的 Python 实现。From 2.4.02.14.0until ， PyJWT HMACAlgorithm.prepare_key 会受到影响，因为 asymmetric-key guard 依赖于 DER 编码中不存在的文本标记。当应用程序混合使用 HMAC 和非对称算法并提供 DER 公钥作为共享验证密钥时，会发生这种情况。因此，PyJWT 将公共 DER 字节用作 HMAC 密码。因此，了解公钥的攻击者可伪造经认证的 HMAC 标记。此问题已在 2.14.0 版本中修复。(CVE-2026-102271)

    PyJWT 是 JSON Web Token 标准的 Python 实现。从 2.13.02.14.0until ， JWT/algorithms.py 中的 HMACAlgorithm.prepare_key 受到影响，因为 raw-JWK 检测器在检查 JSON 之前未规范化接受的 Unicode 字节顺序标记。当公共 JWK 以 UTF-8 BOM 作为前缀，并在混合算法验证路径中使用时，会发生这种情况。因此，公共 JWK 可绕过非对称密钥检测并成为 HMAC 密码。因此，了解公钥的攻击者可伪造经认证的标记。此问题已在 2.14.0 版本中修复。(CVE-2026-102272)

    PyJWT 是 JSON Web Token 标准的 Python 实现。From 2.13.0 until 2.14.0， PyJWT HMACAlgorithm.prepare_key会受到影响，因为 HMAC 密钥防护只能识别顶级公用 JWK 表单，而忽略了容器表示形式。当应用程序允许 HMAC 和非对称算法，并将公共 JWK 容器作为原始密钥传递时，便会发生这种情况。因此，公开非对称密钥材料会作为 HMAC 密码接受。因此，了解公钥的攻击者可通过任意经认证声明伪造标记。此问题已在 2.14.0 版本中修复。(CVE-2026-102273)

    PyJWT 是 JSON Web Token 标准的 Python 实现。从 2.1.0 until 2.15.0， jwt/algorithms.py 中的 PyJWT OKPAlgorithm.from_jwk会受到影响，因为 private-JWK 导入路径不会比较派生自 d 和 x 的公钥。当 OKP 专用 JWK 提供不对应的 x 和 d 组件时会发生这种情况。因此，从 x 派生的身份可能与使用 d 执行的操作不同。
    因此，如果集成也接受来自证明标头的私钥参数但未拒绝它们，则攻击者可在没有合法私钥的情况下使用被盗的发送者限制令牌。此问题已在 2.15.0 版本中修复。(CVE-2026-102275)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Amazon Linux 2023：python3-jwt、python3-jwt+crypto （ALAS2023-2026-3298）

critical Nessus 插件 ID 371882

版本 1.1