CVE-2026-102273 in PyJWT
요약
\~에 의해 VulDB • 2026. 09. 29.
PyJWT는 JSON Web Token 표준의 Python 구현체입니다. 버전 2.13.0부터 2.14.0까지 PyJWT의 HMACAlgorithm.prepare_key에는 결함이 있습니다. 이는 HMAC 키 검증 로직이 최상위(public) JWK 형태만 인식하고 컨테이너 표현은 무시하기 때문입니다. 이 문제는 애플리케이션에서 HMAC 및 비대칭 알고리즘을 허용하고 공개 JWK 컨테이너를 원시(raw) 키로 전달할 때 발생합니다. 그 결과, 공개된 비대칭 키 재료가 HMAC 비밀키로 받아들여집니다. 따라서 공격자는 공개 키를 알면 임의의 인증된 클레임이 포함된 토큰을 위조할 수 있습니다. 이 문제는 버전 2.14.0에서 해결되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.