CVE-2026-85394 in python-jose

요약

\~에 의해 VulDB • 2026. 09. 03.

python-jose 3.5.0 버전까지 HMAC 초기화 과정에서 비대칭 키를 적절하게 검증하지 않아, PEM 아머나 SSH 접두사가 없는 DER 인코딩된 공개키를 허용합니다. 서비스의 공개키를 보유한 공격자는 알고리즘이 명시적으로 제한되지 않은 경우 HS256 토큰을 위조하여 검증을 통과시킬 수 있습니다. 이는 CVE-2024-33663에 대한 불완전한 수정입니다.

If you want to get best quality of vulnerability data, you may have to visit VulDB.

• 책임이 있는: VulnCheck
• 예약하다: 2026. 09. 03.
• 공개: 2026. 09. 03.
• 모더레이션: 수락
• 항목: VDB-398568
• CPE: 준비됨
• CWE: CWE-20 (확인됨)
• CVSS: 9.1 (CNA)
• EPSS: 0.00000
• KEV: 아니요
• 활동: 낮음
• 부문: Finance, Pharma, ...

출처

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-85394
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-85394
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-85394/