CVE-2026-102269
Publiée le 2026-09-28 · Dernière modification le 2026-10-06
Les applications Python utilisant la bibliothèque PyJWT avant la version 2.14.0 sont affectées par une faille dans la manière dont les signatures de jetons sont décodées. Un attaquant peut contourner les listes de révocation de jetons en ajoutant des caractères supplémentaires à une signature, faisant ainsi apparaître un jeton révoqué comme nouveau tout en restant cryptographiquement valide. Cela nécessite un accès réseau, mais l'exécution est difficile car l'attaquant doit manipuler avec précision la structure du jeton pour échapper à des contrôles de sécurité spécifiques.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
PyJWT is a Python implementation of JSON Web Token standards. Prior to 2.14.0, PyJWT signature segment is affected because signature segment decoding accepts characters outside the canonical Base64URL representation. This occurs when non-Base64URL characters are appended to a valid compact JWS signature segment. As a result, base64url_decode produces the same signature bytes for different serialized segments. Consequently, raw-token revocation checks can fail to recognize an equivalent modified token. This issue is fixed in version 2.14.0.