CVE-2026-120459
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les versions 3.5.0 et antérieures de python-jose sont utilisées par les développeurs pour gérer les jetons JSON Web Tokens (JWT) servant à l'authentification. La faille provient du fait que la bibliothèque n'écarte pas les chaînes de caractères vides lorsqu'elles sont utilisées comme secrets HMAC pour la vérification des jetons. Si la clé secrète d'un serveur est accidentellement configurée comme vide ou aboutit à une valeur de longueur nulle, la bibliothèque validera les jetons signés avec une clé vide.
Un attaquant peut ainsi forger ses propres JWT avec des revendications arbitraires, telles que des privilèges d'administrateur, afin de contourner entièrement l'authentification. Cela compromet à la fois la confidentialité et l'intégrité en accordant un accès non autorisé à des données et des fonctions protégées. L'attaque est facile à exécuter via le réseau, ne nécessite aucune authentification préalable et ne requiert aucune interaction de la part des utilisateurs légitimes.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
python-jose through 3.5.0 contains an authentication bypass vulnerability that allows unauthenticated attackers to forge JWTs because HMACKey and CryptographyHMACKey accept zero-length HMAC secrets. When an application's HS256/HS384/HS512 verification key resolves to empty, such as an oct JWK with empty k, attackers can forge tokens with arbitrary claims that jwt.decode accepts.