CVE-2026-102272 in PyJWT
Zusammenfassung
von VulDB • 28.09.2026
PyJWT ist eine Python-Implementierung der JSON Web Token-Standards. Von Version 2.13.0 bis 2.14.0 ist HMACAlgorithm.prepare_key in jwt/algorithms.py betroffen, da der Raw-JWK-Detektor akzeptierte Unicode Byte Order Marks (BOM) vor der Überprüfung auf JSON nicht normalisiert. Dies tritt auf, wenn ein öffentliches JWK mit einem UTF-8-BOM versehen und in einer Mixed-Algorithmus-Verifizierungspfad verwendet wird. Infolgedessen umgeht das öffentliche JWK die Erkennung asymmetrischer Schlüssel und wird zum HMAC-Secret. Folglich kann ein Angreifer, der den öffentlichen Schlüssel kennt, authentifizierte Tokens fälschen. Dieses Problem wurde in Version 2.14.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.