CVE-2026-85394criticalCWE-347

CVE-2026-85394: fallo crítico en mpdavis python-jose

python-jose through 3.5.0 Algorithm Confusion via DER-encoded Public Key as HMAC Secret

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear python-jose+ Monitorear python-jose

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

28Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 9.3epss 0.2%
python-jose through 3.5.0 fails to properly validate asymmetric keys in HMAC initialization, accepting DER-encoded public keys that lack PEM armor or SSH prefixes. Attackers holding the service's public key can forge HS256 tokens that pass verification when algorithms are not explicitly restricted. This is an incomplete fix for CVE-2024-33663.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
Productos afectados
mpdavis · python-jose
CVEs relacionadas — mpdavis python-jose

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-120459CRITICALpython-jose through 3.5.0 Authentication Bypass via Empty HMAC KeyEPSS 0.3%