CVE-2026-120459

Nome do Software Vulnerável e Versões Afetadas python-jose versões anteriores a 3.5.1

Description Existe uma falha de bypass de autenticação porque HMACKey e CryptographyHMACKey aceitam segredos HMAC de comprimento zero. Quando a chave de verificação HS256, HS384 ou HS512 de uma aplicação resolve para vazio, como um JWK (JSON Web Key) do tipo oct com a variável k vazia, atacantes não autenticados podem forjar JSON Web Tokens (JWTs) com reivindicações arbitrárias que o jwt.decode() aceitará.

Recommendations versões anteriores a 3.5.1: No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Rejeite chaves vazias durante o carregamento da configuração.