PyJWT : contournement par BOM de la protection contre l’utilisation de clés JWK en HMAC

Veille sécuritéBackend & données

P3Élevée

PyJWT 2.13.0 comporte un contournement par BOM de la protection contre l’utilisation de clés JWK publiques comme secrets HMAC, dans certaines configurations à algorithmes mixtes. PyJWT 2.14.0 corrige le problème ; mettre à niveau et éviter de combiner algorithmes HMAC et asymétriques dans le même chemin de vérification.

IdentifiantCVE-2026-102272

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif2.14.0

Source : GHSA-r6x4-923q-g947 — PyJWT BOM Bypass

Analyse technique

Le contrôle de détection des JWK utilise lstrip() sur les octets, qui ne retire pas le BOM UTF-8 ; le JWK peut alors être traité comme une clé HMAC. L’avis indique que la configuration vulnérable autorise simultanément des algorithmes HMAC et asymétriques.

Impact, versions et correctif

Événement datéL’avis GitHub est daté du 2026-09-29T23:14:00Z, soit le 2026-09-30 à 01:14:00+02:00, dans la période retenue.

ImpactDans les configurations concernées, un attaquant peut fabriquer des jetons signés en HMAC et faire accepter des revendications arbitraires.

Versions affectéesPyJWT 2.13.0

Version corrigée2.14.0

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.4

Publication2026-09-29T23:14:00Z

Mise à jour2026-09-29T23:14:02Z

Action recommandée

Mettre à niveau vers PyJWT 2.14.0 ou ultérieure et ne pas mélanger les algorithmes HMAC et asymétriques dans un même chemin de vérification.

Sources

GHSA-r6x4-923q-g947 — PyJWT BOM Bypass

Priorisation DFS : P3 · 1 source(s).