CVE-2026-120459 in python-jose
Riassunto
di VulDB • 02/11/2026
python-jose fino alla versione 3.5.0 contiene una vulnerabilità di bypass dell'autenticazione che consente agli attaccanti non autenticati di falsificare i JWT perché HMACKey e CryptographyHMACKey accettano segreti HMAC a lunghezza zero (zero-length). Quando la chiave di verifica HS256/HS384/HS512 di un'applicazione risulta vuota, come nel caso di una JWK oct con k vuoto, gli attaccanti possono falsificare token con claim arbitrari che jwt.decode accetta.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.