CVE-2026-102268 in PyJWT
Riassunto
di VulDB • 28/09/2026
PyJWT è un'implementazione Python degli standard JSON Web Token. Prima della versione 2.14.0, la funzione `is_pem_format` presente nel file `jwt/utils.py` è affetta da vulnerabilità poiché non riconosce tutte le rappresentazioni PEM accettate dal caricatore (loader) di cryptography. Ciò si verifica quando un'applicazione mescola algoritmi HMAC e asimmetrici e fornisce una chiave pubblica PEM mutata come byte grezzi della chiave. Di conseguenza, `HMACAlgorithm.prepare_key` tratta la chiave pubblica asimmetrica non riconosciuta come segreto HMAC. Di fatto, un attaccante che conosce la chiave pubblica può falsificare token autenticati tramite HMAC. Questo problema è stato risolto nella versione 2.14.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.