CVE-2026-102266
Açıklama
PyJWT, JSON Web Token standartlarının bir Python uygulamasıdır. 2.13.0 ile 2.14.0 sürümleri arasında, PyJWK doğrulama yolunun decode edilmiş anahtarı prepare_key doğrulamasını uygulamadan kullanması nedeniyle HMACAlgorithm.from_jwk etkilenmektedir. Bu durum, güvenilir bir JWK Set'in boş bir k değerine sahip bir oct girişi içerdiği durumlarda meydana gelir. Sonuç olarak, bir saldırgan, PyJWT tarafından kabul edilen aynı sıfır uzunluktaki anahtar ile bir HMAC belirteci imzalar. Bunun sonucunda, sahte belirteçler rastgele kimliği doğrulanmış iddialar taşıyabilir. Bu sorun 2.14.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- pyjwt2.14.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| pyjwt_project pyjwt | 2.13.0 | — |
| pyjwtPyPI | 2.13.0 ≤ v < 2.14.0 | 2.14.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.