Veille sécuritéBackend & données
P3Critique
Une erreur dans python-jose permet de signer des JWT avec des revendications arbitraires lorsque la clé HMAC utilisée pour la vérification est vide. Les versions jusqu’à 3.5.0 sont concernées; aucune version corrigée n’est indiquée dans les éléments fournis.
Python
IdentifiantCVE-2026-120459
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-120459
Analyse technique
Le défaut concerne HMACKey et CryptographyHMACKey, qui acceptent un secret HMAC de longueur nulle. Si la clé de vérification HS256, HS384 ou HS512 est vide — par exemple à partir d’un JWK oct dont k est vide — un attaquant non authentifié peut fabriquer un jeton accepté par jwt.decode.
Impact, versions et correctif
Événement datéÉvénement retenu : publication initiale de la fiche NVD le 2026-11-02 à 15:17:29Z, dans la période demandée.
ImpactUn attaquant non authentifié peut forger des JWT portant des revendications arbitraires si l’application vérifie les signatures avec un secret HMAC vide.
Versions affectéespython-jose jusqu’à 3.5.0 inclus
ContournementVérifier que les secrets HMAC utilisés ne sont pas vides; consulter le suivi du projet pour les consignes de mise à jour.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.1 · CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
Publication2026-11-02T15:17:29.867Z
Mise à jour2026-11-02T19:14:53.030Z
Action recommandée
Ne pas utiliser de clé HMAC vide; vérifier que les clés de vérification JWT sont non vides et suivre les publications du projet pour un correctif.
Sources
Priorisation DFS : P3 · 1 source(s).