CVE-2026-102266
CVE-2026-102266 · PyJWK accepts empty HMAC keys, bypassing PyJWT's empty-key validation
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
PyJWT is a Python implementation of JSON Web Token standards. From 2.13.0 until 2.14.0, HMACAlgorithm.from_jwk is affected because PyJWK verification path used the decoded key without applying prepare_key validation. This occurs when a trusted JWK Set contains an oct entry with an empty k value. As a result, an attacker signs an HMAC token with the same zero-length key accepted by PyJWT. Consequently, forged token can carry arbitrary authenticated claims. This issue is fixed in version 2.14.0.
CVSS 7.4 · Hoch · EPSS 0,2% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: system · python
Betroffene Produkte und Versionen
pyjwt
- Softwareversionen
- >= 2.13.0, < 2.14.0: Betroffen
Keine Korrektur veröffentlicht
pyjwt Debian:13
- Softwareversionen
- 2.10.1-2
- 2.10.1-2+deb13u1
- 2.10.1-3
- 2.10.1-4
- 2.11.0-2
- 2.12.1-1
- 2.13.0-1
- 2.14.0-1
- 2.15.0-1
- 2.15.1-1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
pyjwt Debian:14
- Softwareversionen
- 2.10.1-2
- 2.10.1-3
- 2.10.1-4
- 2.11.0-2
- 2.12.1-1
- 2.13.0-1
- Betroffene Versionsbereiche
- ECOSYSTEM: < 2.14.0-1
Auf 2.14.0-1 aktualisieren
pyjwt PyPI
- Softwareversionen
- 2.13.0
- Betroffene Versionsbereiche
- ECOSYSTEM: ≥ 2.13.0, < 2.14.0
Auf 2.14.0 aktualisieren
pyjwt Ubuntu:26.10
- Softwareversionen
- 2.10.1-4ubuntu1
- 2.12.1-1
- 2.13.0-1
- Betroffene Versionsbereiche
- ECOSYSTEM: < 2.13.0-1ubuntu1
Auf 2.13.0-1ubuntu1 aktualisieren
pyjwt Ubuntu:26.04:LTS
- Softwareversionen
- 2.10.1-2
- 2.10.1-3
- 2.10.1-3build1
- 2.10.1-4
- 2.10.1-4ubuntu1
- 2.10.1-4ubuntu1.1
- Betroffene Versionsbereiche
- ECOSYSTEM: < 2.10.1-4ubuntu1.2
Auf 2.10.1-4ubuntu1.2 aktualisieren