CVE-2026-102268

सारांश

PyJWT, JSON Web Token मानकों का एक Python कार्यान्वयन है। 2.14.0 से पहले, jwt/utils.py में is_pem_format प्रभावित है क्योंकि is_pem_format cryptography लोडर द्वारा स्वीकार किए जाने वाले प्रत्येक PEM प्रतिनिधित्व को नहीं पहचानता। यह तब होता है जब कोई एप्लिकेशन HMAC और असममित एल्गोरिदम को मिलाता है और एक परिवर्तित सार्वजनिक-कुंजी PEM को कच्चे कुंजी बाइट्स के रूप में प्रदान करता है। परिणामस्वरूप, HMACAlgorithm.prepare_key अपरिचित असममित सार्वजनिक कुंजी को HMAC रहस्य के रूप में मानता है। इसलिए, एक हमलावर जो सार्वजनिक कुंजी जानता है, प्रमाणित HMAC टोकन जाली बना सकता है। यह समस्या संस्करण 2.14.0 में ठीक कर दी गई है।

स्रोत

• cve-2026-102268-pocPoC

  CVE-2026-102-268 (PyJWT Asymmetric-PEM detection bypass) के लिए Exploitability PoC।