python-jose 빈 HMAC 키로 인증 우회 가능

요약

python-jose 3.5.0 이하 버전은 HMAC 비밀 키가 비어 있으면 인증하지 않은 공격자가 로그인 값을 위조할 수 있습니다.

해당 조건

• HMAC 검증 키가 비어 있음(예: 빈 k 값의 oct JWK)

대처법

3.5.0보다 새로운 python-jose 버전을 쓰는지 확인하고 제작사 안내문을 읽으세요. 출처에 고정 버전은 나오지 않습니다.

대상 제품과 운영체제

• python-jose

CVE 번호

• CVE-2026-120459 (새 탭에서 열림)

원문 링크

• 분석 글: github.com (새 탭에서 열림) · github.com (새 탭에서 열림) · vulncheck.com (새 탭에서 열림)
• CVE 기록: cve.org (새 탭에서 열림)

시각

처음 게시 2026-11-02 23:29

처음 확인 2026-11-09 23:10