Podatności python-jose
4 znanych podatności CVE w python-jose, przetłumaczonych i ocenionych.
- CVE-2026-120459Wysokie
python-jose do wersji 3.5.0 zawiera podatność obejścia uwierzytelniania, która pozwala nieuwierzytelnionym atakującym sfałszować JWT, ponieważ HMACKey i CryptographyHMACKey akceptują klucze HMAC o zerowej długości. Gdy klucz weryfikacyjny HS256/HS384/HS512 jest pusty, np. oct JWK z pustym k, atakujący mogą sfałszować tokeny z dowolnymi roszczeniami.
- CVE-2026-85394Krytyczne
python-jose do wersji 3.5.0 nieprawidłowo waliduje klucze asymetryczne w inicjalizacji HMAC, akceptując klucze publiczne w formacie DER bez otoczki PEM lub prefiksów SSH. Atakujący posiadający klucz publiczny usługi może sfałszować tokeny HS256, które przejdą weryfikację, gdy algorytmy nie są jawnie ograniczone. Jest to niepełna poprawka dla CVE-2024-33663.
- CVE-2016-7036Krytyczne
Wersje python-jose przed 1.3.2 nie stosują porównania w stałym czasie dla kluczy HMAC, co może być wykorzystane przez atakujących w nieokreślony sposób.
- CVE-2024-29370Średnie
W python-jose 3.3.0 (konkretnie jwe.decrypt) podatność pozwala atakującemu na wywołanie warunku Denial-of-Service (DoS) poprzez spreparowanie złośliwego tokenu JSON Web Encryption (JWE) o wyjątkowo wysokim współczynniku kompresji. Gdy token jest przetwarzany przez serwer, powoduje to znaczną alokację pamięci i czas przetwarzania podczas dekompresji.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS