CVE-2026-120459criticalCWE-347

CVE-2026-120459: fallo crítico en mpdavis python-jose

python-jose through 3.5.0 Authentication Bypass via Empty HMAC Key

Publicada el

Seguir esta CVE+ Monitorear python-jose

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

28Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 9.1epss 0.3%
python-jose through 3.5.0 contains an authentication bypass vulnerability that allows unauthenticated attackers to forge JWTs because HMACKey and CryptographyHMACKey accept zero-length HMAC secrets. When an application's HS256/HS384/HS512 verification key resolves to empty, such as an oct JWK with empty k, attackers can forge tokens with arbitrary claims that jwt.decode accepts.
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
Productos afectados
mpdavis · python-jose
CVEs relacionadas — mpdavis python-jose

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-85394CRITICALpython-jose through 3.5.0 Algorithm Confusion via DER-encoded Public Key as HMAC SecretEPSS 0.2%