CVE-2026-102272 in PyJWT
요약
\~에 의해 VulDB • 2026. 09. 29.
PyJWT는 JSON Web Token 표준의 Python 구현체입니다. 버전 2.13.0부터 2.14.0까지, jwt/algorithms.py 내 HMACAlgorithm.prepare_key은 raw-JWK 감지기가 JSON을 확인하기 전에 허용된 유니코드 바이트 순서 표시(BOM)를 정규화하지 않기 때문에 영향을 받습니다. 이는 공개 JWK가 UTF-8 BOM으로 접두되어 혼합 알고리즘 검증 경로에서 사용될 때 발생합니다. 그 결과, 공개 JWK는 비대칭 키 감지를 우회하여 HMAC 비밀키로 사용됩니다. 따라서 공격자는 공개 키를 알면 인증된 토큰을 위조할 수 있습니다. 이 문제는 버전 2.14.0에서 해결되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.