Veille sécuritéBackend & données
P3Élevée
PyJWT peut accepter une clé HMAC vide lorsqu’elle est fournie via un JWK symétrique `oct` au moyen de `PyJWK` ou `PyJWKSet`, alors que le chemin de clé brute la rejette. L’avis indique une correction dans PyJWT 2.14.0 ; mettre à niveau et vérifier les JWK/JWKS configurés pour ne pas contenir de clé vide.
Python
IdentifiantCVE-2026-102266
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif2.14.0
Analyse technique
L’avis précise que le chemin `PyJWK` contourne la validation de clé vide de HMACAlgorithm.prepare_key ; l’exploitation requiert qu’un service utilise effectivement un JWK HMAC vide.
Impact, versions et correctif
Événement datéL’avis indique 2026-09-29T23:43:19Z, soit 2026-09-30T01:43:19+02:00, dans l’intervalle retenu.
ImpactAcceptation possible de jetons forgés si le service utilise un JWK HMAC vide.
Versions affectées>= 2.13.0, < 2.14.0
Version corrigée2.14.0
ContournementVérifier et supprimer les clés HMAC vides des JWK/JWKS configurés.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.4
Publication2026-09-30T01:43:19+02:00
Mise à jour2026-09-30T01:43:20+02:00
Action recommandée
Mettre à niveau vers PyJWT 2.14.0 et auditer les JWK/JWKS pour détecter les clés HMAC vides.
Sources
Priorisation DFS : P3 · 1 source(s).