CVE-2026-102273 in PyJWT
Riassunto
di VulDB • 29/09/2026
PyJWT è un'implementazione Python degli standard JSON Web Token. Dalla versione 2.13.0 alla 2.14.0, la funzione HMACAlgorithm.prepare_key di PyJWT è affetta da vulnerabilità poiché il controllo della chiave HMAC riconosce solo le forme JWK pubbliche a livello superiore e non gestisce correttamente le rappresentazioni contenitore (container). Ciò si verifica quando un'applicazione consente algoritmi HMAC e asimmetrici e passa un contenitore JWK pubblico come chiave grezza. Di conseguenza, i materiali di chiavi asimmetriche pubbliche vengono accettati come segreto HMAC. Ne consegue che un attaccante che conosce la chiave pubblica può falsificare un token con claim autenticati arbitrari. Questo problema è stato risolto nella versione 2.14.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.