CVE-2026-102268
严重已发布
PyJWT：非对称 PEM 检测绕过：经空白/行尾变异的公钥可跳过 HS/非对称混淆防护
- 已发布
- 2026年9月28日
- 已更新
- 2026年9月29日
- 分配 CNA
- GitHub_M
- 观察到的证据
- 2026年10月3日
初级CVSS
9.1/ 10严重
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N0.2%
低 · 未来 30 天
- 百分位
- 14.4%
- 型号日期
- 2026年10月25日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
PyJWT 是 JSON Web Token 标准的 Python 实现。在 2.14.0 之前，jwt/utils.py 中的 is_pem_format 受到影响，因为 is_pem_format 无法识别 cryptography 加载器所接受的所有 PEM 表示形式。当应用程序混合使用 HMAC 和非对称算法，并将经过变异的公钥 PEM 作为原始密钥字节提供时，就会出现此问题。因此，HMACAlgorithm.prepare_key 会将无法识别的非对称公钥当作 HMAC 密钥处理。这样一来，知道公钥的攻击者就可以伪造经过认证的 HMAC 令牌。此问题已在 2.14.0 版本中修复。
来源
CVE-2026-102-268（PyJWT 非对称 PEM 检测绕过）的可利用性 PoC。
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。