CVE-2026-102266
CVE-2026-102266 · PyJWK accepts empty HMAC keys, bypassing PyJWT's empty-key validation
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
PyJWT is a Python implementation of JSON Web Token standards. From 2.13.0 until 2.14.0, HMACAlgorithm.from_jwk is affected because PyJWK verification path used the decoded key without applying prepare_key validation. This occurs when a trusted JWK Set contains an oct entry with an empty k value. As a result, an attacker signs an HMAC token with the same zero-length key accepted by PyJWT. Consequently, forged token can carry arbitrary authenticated claims. This issue is fixed in version 2.14.0.
CVSS 7.4 · Alta · EPSS 0,2% · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: system · python
Productos y versiones afectados
pyjwt
- Versiones
- >= 2.13.0, < 2.14.0: Afectada
Sin corrección publicada
pyjwt Debian:13
- Versiones
- 2.10.1-2
- 2.10.1-2+deb13u1
- 2.10.1-3
- 2.10.1-4
- 2.11.0-2
- 2.12.1-1
- 2.13.0-1
- 2.14.0-1
- 2.15.0-1
- 2.15.1-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
pyjwt Debian:14
- Versiones
- 2.10.1-2
- 2.10.1-3
- 2.10.1-4
- 2.11.0-2
- 2.12.1-1
- 2.13.0-1
- Intervalos de versiones afectados
- ECOSYSTEM: < 2.14.0-1
Actualiza a 2.14.0-1
pyjwt PyPI
- Versiones
- 2.13.0
- Intervalos de versiones afectados
- ECOSYSTEM: ≥ 2.13.0, < 2.14.0
Actualiza a 2.14.0
pyjwt Ubuntu:26.10
- Versiones
- 2.10.1-4ubuntu1
- 2.12.1-1
- 2.13.0-1
- Intervalos de versiones afectados
- ECOSYSTEM: < 2.13.0-1ubuntu1
Actualiza a 2.13.0-1ubuntu1
pyjwt Ubuntu:26.04:LTS
- Versiones
- 2.10.1-2
- 2.10.1-3
- 2.10.1-3build1
- 2.10.1-4
- 2.10.1-4ubuntu1
- 2.10.1-4ubuntu1.1
- Intervalos de versiones afectados
- ECOSYSTEM: < 2.10.1-4ubuntu1.2
Actualiza a 2.10.1-4ubuntu1.2