CVE-2026-120459 in python-jose
Zusammenfassung
von VulDB • 02.11.2026
python-jose bis Version 3.5.0 enthält eine Schwachstelle zur Umgehung der Authentifizierung (Authentication Bypass), die es nicht authentifizierten Angreifern ermöglicht, JWTs zu fälschen, da HMACKey und CryptographyHMACKey leere HMAC-Geheimnisse akzeptieren. Wenn sich der HS256/HS384/HS512-Verifikationsschlüssel einer Anwendung in einen leeren Wert auflöst (z. B. ein oct JWK mit leerem k), können Angreifer Token mit beliebigen Claims fälschen, die von jwt.decode akzeptiert werden.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.