CVE-2026-102268
PyJWT: обход обнаружения асимметричного PEM: публичные ключи, изменённые пробелами/окончаниями строк, обходят защиту от путаницы HS/асимметричного алгоритма
- Опубликовано
- 28 сент. 2026 г.
- Обновлено
- 29 сент. 2026 г.
- Назначение CNA
- GitHub_M
- Наблюдены доказательства
- 3 окт. 2026 г.
Первичный CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:NНизкий · следующие 30 дней
- Процентиль
- 14,4 %
- Дата модели
- 25 окт. 2026 г.
EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.
Резюме
PyJWT — это реализация стандартов JSON Web Token на Python. До версии 2.14.0 функция is_pem_format в jwt/utils.py подвержена проблеме, поскольку is_pem_format не распознаёт все представления PEM, принимаемые загрузчиком cryptography. Это происходит, когда приложение смешивает алгоритмы HMAC и асимметричные алгоритмы и передаёт модифицированный PEM открытого ключа в виде необработанных байтов ключа. В результате HMACAlgorithm.prepare_key обрабатывает нераспознанный асимметричный открытый ключ как секрет HMAC. Следовательно, злоумышленник, знающий открытый ключ, может подделывать аутентифицированные токены HMAC. Эта проблема исправлена в версии 2.14.0.
Источники
PoC эксплуатируемости для CVE-2026-102-268 (обход обнаружения асимметричного PEM в PyJWT).
Ответственное использование
Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.