Pypi · Python-Jose · CVE-2025-61152
**Nome do Software Vulnerável e Versões Afetadas**
python-jose versões até a 3.3.0
**Descrição**
O software aceita tokens JWT com 'alg=none' sem verificação de assinatura criptográfica. Isso permite que um ator malicioso crie tokens forjados com claims arbitrárias, potencialmente contornando verificações de autenticação e levando ao escalonamento de privilégios ou acesso não autorizado. O endpoint da API não é especificado. O parâmetro vulnerável é o próprio token JWT. A função vulnerável é o processo de validação do token.
**Recomendações**
Versões anteriores à 3.3.1 devem ser atualizadas.