跳到正文
热点事件持续更新

PyJWT 空 HMAC 密钥可伪造令牌，2.14.0 修复

1 篇报道1 个报道来源8 小时前更新

先了解这件事

AI 综述

GitHub 安全公告库披露，PyJWT 2.13.0 及之前版本的 HMACAlgorithm.from_jwk 会接受 k 为空字符串的 oct JWK，并返回零长度密钥。攻击者无需掌握任何密钥，只要在本地用空密钥复现摘要，并把令牌的 kid 指向这个空 k 的 JWK，就能伪造经 PyJWK、PyJWKSet 或 PyJWKClient 校验的 HS256/384/512 令牌。 在默认解码选项下，这条路径只触发 InsecureKeyLengthWarning 而不报错，因此校验仍会通过。服务端唯一的前提是 JWKS 中存在 k 为空的 oct 条目，而“未设置签名密钥”的配置就会产生这种条目。 PyJWT 2.14.0 是首个包含修复的版本，已于 2026-09-11 发布到 PyPI。

AI 根据报道生成 · 7 小时前更新

最新进展10月22日 23:48
PyJWT 2.13.0 及之前版本经 oct JWK 空 HMAC 密钥可伪造 HS256 令牌，2.14.0 修复

报道时间线

沿着报道，了解事件的不同侧面。

10月22日
  1. GitHub 安全公告库 (GHSA)精选
    PyJWT 2.13.0 及之前版本经 oct JWK 空 HMAC 密钥可伪造 HS256 令牌，2.14.0 修复

    PyJWT 的 HMACAlgorithm.from_jwk 接受 k 为空字符串的 oct JWK 并返回零长度密钥，使经 PyJWK、PyJWKSet 或 PyJWKClient 校验的 HS256/384/512 令牌可被攻击者用空密钥伪造，默认配置下仅触发 InsecureKeyLengthWarning 而不报错。

本事件热度走势

可比范围当前
8
可比范围峰值
1010月23日 01:00
近 24 小时变化
–

趋势仅比较持续完整观测到的相同主体，范围可能小于当前热度统计。移动指针或点击图表查看每小时热度；键盘可用左右方向键切换。