CVE-2026-102266
CVE-2026-102266 · PyJWK accepts empty HMAC keys, bypassing PyJWT's empty-key validation
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
PyJWT is a Python implementation of JSON Web Token standards. From 2.13.0 until 2.14.0, HMACAlgorithm.from_jwk is affected because PyJWK verification path used the decoded key without applying prepare_key validation. This occurs when a trusted JWK Set contains an oct entry with an empty k value. As a result, an attacker signs an HMAC token with the same zero-length key accepted by PyJWT. Consequently, forged token can carry arbitrary authenticated claims. This issue is fixed in version 2.14.0.
CVSS 7.4 · Высокий · EPSS 0,2% · Есть исправление
- Опубликовано
- Обновлено
Затронутые продукты и версии
pyjwt
- Версии
- >= 2.13.0, < 2.14.0: Затронуто
Нет опубликованного исправления
pyjwt Debian:13
- Версии
- 2.10.1-2
- 2.10.1-2+deb13u1
- 2.10.1-3
- 2.10.1-4
- 2.11.0-2
- 2.12.1-1
- 2.13.0-1
- 2.14.0-1
- 2.15.0-1
- 2.15.1-1
- Затронутые диапазоны версий
- ECOSYSTEM: (−∞, +∞)
Нет опубликованного исправления
pyjwt Debian:14
- Версии
- 2.10.1-2
- 2.10.1-3
- 2.10.1-4
- 2.11.0-2
- 2.12.1-1
- 2.13.0-1
- Затронутые диапазоны версий
- ECOSYSTEM: < 2.14.0-1
Обновитесь до 2.14.0-1
pyjwt PyPI
- Версии
- 2.13.0
- Затронутые диапазоны версий
- ECOSYSTEM: ≥ 2.13.0, < 2.14.0
Обновитесь до 2.14.0
pyjwt Ubuntu:26.10
- Версии
- 2.10.1-4ubuntu1
- 2.12.1-1
- 2.13.0-1
- Затронутые диапазоны версий
- ECOSYSTEM: < 2.13.0-1ubuntu1
Обновитесь до 2.13.0-1ubuntu1
pyjwt Ubuntu:26.04:LTS
- Версии
- 2.10.1-2
- 2.10.1-3
- 2.10.1-3build1
- 2.10.1-4
- 2.10.1-4ubuntu1
- 2.10.1-4ubuntu1.1
- Затронутые диапазоны версий
- ECOSYSTEM: < 2.10.1-4ubuntu1.2
Обновитесь до 2.10.1-4ubuntu1.2