PT-2026-135475
CVE-2026-120459
·
تاريخ النشر
2026-11-02
·
تاريخ التحديث
2026-11-02
الوصف من
CVSS 3.1
7.4
عاليةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
python-jose الإصدارات السابقة لـ 3.5.1
Description
يوجد خلل في تجاوز المصادقة لأن
HMACKey و CryptographyHMACKey يقبلان أسرار HMAC بطول صفر. عندما تكون مفاتيح التحقق HS256 أو HS384 أو HS512 الخاصة بالتطبيق فارغة، مثل JWK (مفتاح ويب JSON) من نوع oct مع متغير k فارغ، يمكن للمهاجمين غير المصرح لهم تزوير رموز JSON Web Tokens (JWTs) بمطالبات عشوائية يقبلها jwt.decode().Recommendations
الإصدارات السابقة لـ 3.5.1: في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة.
ارفض المفاتيح الفارغة عند تحميل الإعدادات.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾