CVE-2026-120459 in python-jose
요약
\~에 의해 VulDB • 2026. 11. 02.
python-jose 3.5.0 이전 버전에는 인증 우회 취약점이 포함되어 있습니다. HMACKey 및 CryptographyHMACKey가 길이 0의 HMAC 비밀키를 허용하기 때문에, 비인증 공격자는 JWT(JSON Web Token)를 위조할 수 있습니다. 애플리케이션의 HS256/HS384/HS512 검증 키가 빈 값으로 해결되는 경우(예: k 필드가 빈 oct 형식 JWK), 공격자는 jwt.decode에서 허용하는 임의의 클레임(arbitrary claims)을 포함하는 토큰을 위조할 수 있습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.