Veille sécuritéBackend & données
P3Élevée
PyJWT peut accepter la vérification d’un jeton HMAC signé avec une clé vide lorsque la clé est fournie par un JWK oct contenant une valeur k vide. Cela peut permettre la falsification de jetons sur les chemins de vérification PyJWK, PyJWKSet ou PyJWKClient; la version corrigée indiquée est 2.14.0.
Python
IdentifiantAvis de sécurité
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif2.14.0
Source : GitHub Advisory GHSA-pxh4-856f-4h89
Analyse technique
Le résumé de l’avis décrit le défaut dans HMACAlgorithm.from_jwk: une clé JWK oct vide devient une clé de longueur zéro et peut être utilisée pour vérifier une signature. Aucun CVE n’est indiqué dans le candidat.
Impact, versions et correctif
Événement datéL’avis GHSA a été publié le 2026-10-22T15:48:04Z, pendant la période; l’avis de sécurité nouveau sans CVE est retenu.
ImpactAcceptation possible de jetons HMAC falsifiés dans les chemins de vérification utilisant un JWK à clé vide.
Versions affectéesPyJWT jusqu’à 2.13.0 inclus
Version corrigée2.14.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.4
Publication2026-10-22T15:48:04Z
Mise à jour2026-10-22T15:48:05Z
Action recommandée
Mettre à niveau PyJWT vers la version 2.14.0 ou ultérieure; examiner les usages de PyJWK, PyJWKSet et PyJWKClient avec des JWKS non fiables.
Sources
Priorisation DFS : P3 · 1 source(s).