CVE-2026-102266
CVE-2026-102266 · PyJWK accepts empty HMAC keys, bypassing PyJWT's empty-key validation
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
PyJWT is a Python implementation of JSON Web Token standards. From 2.13.0 until 2.14.0, HMACAlgorithm.from_jwk is affected because PyJWK verification path used the decoded key without applying prepare_key validation. This occurs when a trusted JWK Set contains an oct entry with an empty k value. As a result, an attacker signs an HMAC token with the same zero-length key accepted by PyJWT. Consequently, forged token can carry arbitrary authenticated claims. This issue is fixed in version 2.14.0.
CVSS 7.4 · Élevée · EPSS 0,2% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: system · python
Produits et versions concernés
pyjwt
- Versions du logiciel
- >= 2.13.0, < 2.14.0: Concernée
Aucun correctif publié
pyjwt Debian:13
- Versions du logiciel
- 2.10.1-2
- 2.10.1-2+deb13u1
- 2.10.1-3
- 2.10.1-4
- 2.11.0-2
- 2.12.1-1
- 2.13.0-1
- 2.14.0-1
- 2.15.0-1
- 2.15.1-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
pyjwt Debian:14
- Versions du logiciel
- 2.10.1-2
- 2.10.1-3
- 2.10.1-4
- 2.11.0-2
- 2.12.1-1
- 2.13.0-1
- Plages de versions concernées
- ECOSYSTEM: < 2.14.0-1
Mettez à jour vers 2.14.0-1
pyjwt PyPI
- Versions du logiciel
- 2.13.0
- Plages de versions concernées
- ECOSYSTEM: ≥ 2.13.0, < 2.14.0
Mettez à jour vers 2.14.0
pyjwt Ubuntu:26.10
- Versions du logiciel
- 2.10.1-4ubuntu1
- 2.12.1-1
- 2.13.0-1
- Plages de versions concernées
- ECOSYSTEM: < 2.13.0-1ubuntu1
Mettez à jour vers 2.13.0-1ubuntu1
pyjwt Ubuntu:26.04:LTS
- Versions du logiciel
- 2.10.1-2
- 2.10.1-3
- 2.10.1-3build1
- 2.10.1-4
- 2.10.1-4ubuntu1
- 2.10.1-4ubuntu1.1
- Plages de versions concernées
- ECOSYSTEM: < 2.10.1-4ubuntu1.2
Mettez à jour vers 2.10.1-4ubuntu1.2