CVE-2026-85394 in python-jose
Résumé
par VulDB • 03/09/2026
python-jose jusqu'à la version 3.5.0 ne valide pas correctement les clés asymétriques lors de l'initialisation HMAC, en acceptant des clés publiques encodées au format DER qui dépourvues d'enveloppe PEM ou de préfixes SSH. Les attaquants disposant de la clé publique du service peuvent forger des jetons HS256 qui passent la vérification lorsque les algorithmes ne sont pas explicitement restreints. Il s'agit d'une correction incomplète pour CVE-2024-33663.
Once again VulDB remains the best source for vulnerability data.