There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - PyJWT is a Python implementation of JSON Web Token standards. Prior to 2.14.0, is_pem_format in
    jwt/utils.py is affected because is_pem_format does not recognize every PEM representation accepted by the
    cryptography loader. This occurs when an application mixes HMAC and asymmetric algorithms and supplies a
    mutated public-key PEM as raw key bytes. As a result, HMACAlgorithm.prepare_key treats the unrecognized
    asymmetric public key as an HMAC secret. Consequently, an attacker who knows the public key can forge
    authenticated HMAC tokens. This issue is fixed in version 2.14.0. (CVE-2026-102268)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - PyJWT 是 JSON Web Token 标准的 Python 实现。在之前 2.14.0版本中，jwt/utils.py 中的 is_pem_format 受到影响，因为 is_pem_format 无法识别加密加载程序接受的每一个 PEM 表示法。当应用程序混合使用 HMAC 和非对称算法，并提供可变的公钥 PEM 作为原始密钥字节时，便会发生这种情况。因此，HMACAlgorithm.prepare_key 将无法识别的非对称公钥视为 HMAC 密码。因此，了解公钥的攻击者可伪造经认证的 HMAC 标记。此问题已在 2.14.0 版本中修复。(CVE-2026-102268)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

因此，它會受到 ALAS2023-2026-3298 公告中所提及的多個弱點影響。

    在 PyJWT 中發現缺陷。遠端攻擊者可提交包含未知金鑰識別碼的權杖，透過傳出要求放大觸發拒絕服務 （DoS）。由於程式庫在擷取簽署金鑰時不會快取查閱失敗或強制執行最小重新整理間隔，因此每個無效的金鑰識別碼都會強制向遠端 JSON Web 金鑰集 （JWKS） 伺服器提出新要求。攻擊者可藉此耗盡網路資源，並使已設定的驗證端點不堪重負。（CVE-2026-101917）

    在 PyJWT 中發現缺陷。在簽章驗證之前處理 JSON Web 權杖 （JWT） 時，剖析器無法正確處理深度巢狀資料，導致未處理的遞迴錯誤。未經身份驗證的遠端攻擊者可以透過提交特製的權杖來利用此缺陷，導致應用程式引發非預期的伺服器異常並導致拒絕服務 （DoS）。
    (CVE-2026-101918)

    在 pyjwt 中發現一個缺陷。遠端攻擊者可以偽造身份驗證權杖，並透過使用空金鑰簽署權杖來繞過安全控制。針對包含空白雜湊型訊息驗證碼 （HMAC） 金鑰的 JSON Web 金鑰 （JWK） 集驗證權杖時，程式庫無法強制執行金鑰長度驗證。這允許攻擊者產生帶有任意聲明的有效令牌，以獲得未經授權的存取。（CVE-2026-102266）

    PyJWT 是 JSON Web 令牌標準的 Python 實作。在之前 2.14.0，PyJWT PyJWKClient 會受到影響，因為重新導向目的地不會根據 JWKS 信任邊界重新驗證。當已設定的受信任 JWKS 端點傳回受攻擊者影響的重新導向時，就會發生這種情況。因此，PyJWKClient 會遵循重新導向，並將重新導向的回應作為關鍵資料使用。因此，轉發的憑證可能會被洩露或驗證金鑰可能會被替換。2.14.0 版已修正此問題。(CVE-2026-102267)

    PyJWT 是 JSON Web 令牌標準的 Python 實作。在之前 2.14.0，jwt/utils.py 中的is_pem_format會受到影響，因為 is_pem_format無法識別密碼編譯載入器接受的每個 PEM 表示法。當應用程式混合 HMAC 和非對稱演算法，並提供變異的公開金鑰 PEM 作為原始金鑰位元組時，就會發生這種情況。因此，HMACAlgorithm.prepare_key會將無法識別的非對稱公開金鑰視為 HMAC 密碼。因此，知道公開金鑰的攻擊者可以偽造經過身份驗證的 HMAC 權杖。2.14.0 版已修正此問題。(CVE-2026-102268)

    PyJWT 是 JSON Web 令牌標準的 Python 實作。從 2.4.0 直到 2.14.0，PyJWT HMACAlgorithm.prepare_key 會受到影響，因為非對稱金鑰保護依賴 DER 編碼中沒有的文字標記。當應用程式混合 HMAC 和非對稱演算法，並提供 DER 公開金鑰作為共用驗證金鑰時，就會發生這種情況。因此，PyJWT 使用公共 DER 位元組作為 HMAC 密碼。因此，知道公開金鑰的攻擊者可以偽造經過身份驗證的 HMAC 權杖。2.14.0 版已修正此問題。(CVE-2026-102271)

    PyJWT 是 JSON Web 令牌標準的 Python 實作。從 2.13.0 直到 2.14.0，jwt/algorithms.py 中的HMACAlgorithm.prepare_key會受到影響，因為 raw-JWK 偵測器不會在檢查 JSON 之前正規化接受的 Unicode 位元組順序標記。當公用 JWK 以 UTF-8 BOM 為前置詞，並在混合演算法驗證路徑中使用時，就會發生這種情況。因此，公用 JWK 會繞過非對稱金鑰偵測，並成為 HMAC 密碼。因此，知道公開金鑰的攻擊者可以偽造經過身份驗證的權杖。2.14.0 版已修正此問題。(CVE-2026-102272)

    PyJWT 是 JSON Web 令牌標準的 Python 實作。從 2.13.0 直到 2.14.0，PyJWT HMACAlgorithm.prepare_key 會受到影響，因為 HMAC 金鑰保護只能識別頂層公用 JWK 表單，而會遺漏容器表示法。當應用程式允許 HMAC 和非對稱演算法，並將公用 JWK 容器作為原始金鑰傳遞時，就會發生這種情況。因此，公開非對稱金鑰資料會被接受為 HMAC 密碼。因此，知道公開金鑰的攻擊者可以偽造具有任意已驗證聲明的權杖。2.14.0 版已修正此問題。(CVE-2026-102273)

    PyJWT 是 JSON Web 令牌標準的 Python 實作。從 2.1.0 直到 2.15.0，jwt/algorithms.py 中的 PyJWT OKPAlgorithm.from_jwk會受到影響，因為私有 JWK 匯入路徑不會將派生自 d 的公開金鑰與 x 進行比較。當 OKP 私人 JWK 提供不對應的 x 和 d 元件時，就會發生這種情況。因此，從 x 派生的身分識別可能與使用 d 執行的作業不同。
    因此，如果整合也接受來自證明標頭的私密金鑰參數而不拒絕它們，則攻擊者可能會使用沒有合法私密金鑰的竊取寄件者限制權杖。2.15.0 版已修正此問題。(CVE-2026-102275)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - PyJWT 是 JSON Web 令牌標準的 Python 實作。在之前 2.14.0，jwt/utils.py 中的is_pem_format會受到影響，因為 is_pem_format無法識別密碼編譯載入器接受的每個 PEM 表示法。當應用程式混合 HMAC 和非對稱演算法，並提供變異的公開金鑰 PEM 作為原始金鑰位元組時，就會發生這種情況。因此，HMACAlgorithm.prepare_key會將無法識別的非對稱公開金鑰視為 HMAC 密碼。因此，知道公開金鑰的攻擊者可以偽造經過身份驗證的 HMAC 權杖。2.14.0 版已修正此問題。(CVE-2026-102268)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

因此，该软件受到 ALAS2023-2026-3298 公告中提及的多个漏洞影响。

    在 PyJWT 中发现一个缺陷。远程攻击者可通过提交包含未知密钥标识符的标记，通过出站请求放大触发拒绝服务 （DoS）。由于提取签名密钥时库未缓存查找失败或强制执行最小刷新间隔，因此每个无效密钥标识符都会强制向远程 JSON Web 密钥集 （JWKS） 服务器发出新请求。这允许攻击者耗尽网络资源并淹没已配置的身份验证端点。（CVE-2026-101917）

    在 PyJWT 中发现一个缺陷。在签名验证前处理 JSON Web Token （JWT） 时，解析器无法正确处理深度嵌套数据，从而导致未处理的递归错误。未经认证的远程攻击者可利用此缺陷，通过提交特别构建的标记，造成应用程序引发非预期服务器异常，并导致拒绝服务 （DoS）。
    (CVE-2026-101918)

    在 pyjwt 中发现一个缺陷。远程攻击者可伪造认证标记并用空密钥签名标记来绕过安全控制。针对包含空的基于哈希的消息认证代码 （HMAC） 密钥的 JSON Web Key （JWK） 集验证标记时，库无法强制执行密钥长度验证。这允许攻击者生成带有任意声明的有效标记，从而获取未经授权的访问权限。（CVE-2026-102266）

    PyJWT 是 JSON Web Token 标准的 Python 实现。在版本 2.14.0之前，PyJWT PyJWKClient 会受到影响，因为重定向目的地未针对 JWKS 信任边界重新验证。当已配置的受信任 JWKS 端点返回受攻击者影响的重定向时，便会发生此情况。因此，PyJWKClient 会遵循重定向，并将重定向的响应作为密钥材料使用。因此，转发的凭据可能被泄露，或验证密钥可能被替换。此问题已在 2.14.0 版本中修复。(CVE-2026-102267)

    PyJWT 是 JSON Web Token 标准的 Python 实现。在之前 2.14.0版本中，jwt/utils.py 中的 is_pem_format 受到影响，因为 is_pem_format 无法识别加密加载程序接受的每一个 PEM 表示法。当应用程序混合使用 HMAC 和非对称算法，并提供可变的公钥 PEM 作为原始密钥字节时，便会发生这种情况。因此，HMACAlgorithm.prepare_key 将无法识别的非对称公钥视为 HMAC 密码。因此，了解公钥的攻击者可伪造经认证的 HMAC 标记。此问题已在 2.14.0 版本中修复。(CVE-2026-102268)

    PyJWT 是 JSON Web Token 标准的 Python 实现。From 2.4.02.14.0until ， PyJWT HMACAlgorithm.prepare_key 会受到影响，因为 asymmetric-key guard 依赖于 DER 编码中不存在的文本标记。当应用程序混合使用 HMAC 和非对称算法并提供 DER 公钥作为共享验证密钥时，会发生这种情况。因此，PyJWT 将公共 DER 字节用作 HMAC 密码。因此，了解公钥的攻击者可伪造经认证的 HMAC 标记。此问题已在 2.14.0 版本中修复。(CVE-2026-102271)

    PyJWT 是 JSON Web Token 标准的 Python 实现。从 2.13.02.14.0until ， JWT/algorithms.py 中的 HMACAlgorithm.prepare_key 受到影响，因为 raw-JWK 检测器在检查 JSON 之前未规范化接受的 Unicode 字节顺序标记。当公共 JWK 以 UTF-8 BOM 作为前缀，并在混合算法验证路径中使用时，会发生这种情况。因此，公共 JWK 可绕过非对称密钥检测并成为 HMAC 密码。因此，了解公钥的攻击者可伪造经认证的标记。此问题已在 2.14.0 版本中修复。(CVE-2026-102272)

    PyJWT 是 JSON Web Token 标准的 Python 实现。From 2.13.0 until 2.14.0， PyJWT HMACAlgorithm.prepare_key会受到影响，因为 HMAC 密钥防护只能识别顶级公用 JWK 表单，而忽略了容器表示形式。当应用程序允许 HMAC 和非对称算法，并将公共 JWK 容器作为原始密钥传递时，便会发生这种情况。因此，公开非对称密钥材料会作为 HMAC 密码接受。因此，了解公钥的攻击者可通过任意经认证声明伪造标记。此问题已在 2.14.0 版本中修复。(CVE-2026-102273)

    PyJWT 是 JSON Web Token 标准的 Python 实现。从 2.1.0 until 2.15.0， jwt/algorithms.py 中的 PyJWT OKPAlgorithm.from_jwk会受到影响，因为 private-JWK 导入路径不会比较派生自 d 和 x 的公钥。当 OKP 专用 JWK 提供不对应的 x 和 d 组件时会发生这种情况。因此，从 x 派生的身份可能与使用 d 执行的操作不同。
    因此，如果集成也接受来自证明标头的私钥参数但未拒绝它们，则攻击者可在没有合法私钥的情况下使用被盗的发送者限制令牌。此问题已在 2.15.0 版本中修复。(CVE-2026-102275)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

したがって、ALAS2023-2026-3298 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    PyJWT に欠陥が見つかりました。リモートの攻撃者が、未知のキー識別子を含むトークンを送信することで、アウトバウンドリクエスト増幅を通じてサービス拒否(DoS)を引き起こす可能性があります。ライブラリは、署名キーをフェッチするときにルックアップの失敗をキャッシュしたり、最小更新間隔を強制したりしないため、無効なキー識別子ごとに、リモート JSON Web キーセット (JWKS) サーバーに新しいリクエストを強制します。これにより、攻撃者はネットワークリソースを枯渇させ、設定された認証エンドポイントを圧倒する可能性があります。(CVE-2026-101917)

    PyJWT に欠陥が見つかりました。署名認証の前に JSON Web トークン(JWT)を処理する場合、パーサーは深くネスト化したデータを適切に処理できず、処理されない再帰エラーにつながります。リモートの認証されていない攻撃者はこの欠陥を悪用して、特別に細工されたトークンを送信することで、アプリケーションに予期しないサーバー例外を引き起こし、サービス拒否(DoS)を引き起こす可能性があります。
    (CVE-2026-101918)

    pyjwt に欠陥が見つかりました。リモートの攻撃者が、空の鍵でトークンに署名することで、認証トークンを偽造し、セキュリティコントロールをバイパスする可能性があります。空のハッシュベースのメッセージ認証コード(HMAC)キーを含む JSON Web Key(JWK)セットに対してトークンを検証するときに、ライブラリがキー長の検証を強制できません。これにより、攻撃者が任意のクレームを持つ有効なトークンを生成し、承認されていないアクセス権を取得する可能性があります。(CVE-2026-102266)

    PyJWTは、JSON Webトークン標準のPython実装です。2.14.0より前は、リダイレクト先がJWKS信頼境界に対して再検証されないため、PyJWT PyJWKClientは影響を受けます。これは、設定された信頼できるJWKSエンドポイントが攻撃者の影響を受けるリダイレクトを返すときに発生します。その結果、PyJWKClientはリダイレクトに従い、リダイレクトされた応答をキーマテリアルとして消費します。この結果、転送された認証情報が漏洩したり、検証キーが置き換えられたりする可能性があります。この問題はバージョン 2.14.0 で修正されています。(CVE-2026-102267)

    PyJWTは、JSON Webトークン標準のPython実装です。2.14.0より前では、暗号化ローダーによって受け入れられたすべてのPEM表現をis_pem_formatが認識しないため、jwt/utils.py でのis_pem_formatは影響を受けます。これは、アプリケーションがHMACと非対称のアルゴリズムを混合し、変更された公開鍵PEMを生のキーバイトとして供給する場合に発生します。その結果、HMACAlgorithm.prepare_keyは、認識されない非対称公開鍵をHMACの秘密として扱います。その結果、公開鍵を知っている攻撃者が、認証されたHMACトークンを偽造する可能性があります。この問題はバージョン 2.14.0 で修正されています。(CVE-2026-102268)

    PyJWTは、JSON Webトークン標準のPython実装です。2.4.0から2.14.0まで、PyJWT HMACAlgorithm.prepare_keyは影響を受けます。これは、非対称キーガードがDERエンコーディングから欠落したテキストマーカーに依存しているためです。これは、アプリケーションが HMAC と非対称アルゴリズムを混合し、DER 公開鍵を共有検証鍵として提供した場合に発生します。その結果、PyJWTはパブリックDERバイトをHMACシークレットとして使用します。その結果、公開鍵を知っている攻撃者が、認証されたHMACトークンを偽造する可能性があります。この問題はバージョン 2.14.0 で修正されています。(CVE-2026-102271)

    PyJWTは、JSON Webトークン標準のPython実装です。2.13.0から2.14.0までは、raw-JWK検出器がJSONをチェックする前に、受け入れられたUnicodeバイトオーダーのマークを正規化しないため、jwt/algorithms.py のHMACAlgorithm.prepare_keyが影響を受けます。これは、パブリック JWK に UTF-8 BOM のプレフィックスが付けられ、混合アルゴリズムの検証パスで使用されている場合に発生します。その結果、パブリック JWK は非対称鍵検出をバイパスし、HMAC シークレットになります。その結果、公開鍵を知っている攻撃者が、認証されたトークンを偽造する可能性があります。この問題はバージョン 2.14.0 で修正されています。(CVE-2026-102272)

    PyJWTは、JSON Webトークン標準のPython実装です。2.13.0から2.14.0まで、HMACキーガードはトップレベルのパブリックJWKフォームのみを認識し、コンテナ表現を見逃すため、PyJWT HMACAlgorithm.prepare_keyが影響を受けます。これは、アプリケーションがHMACおよび非対称アルゴリズムを許可し、パブリックJWKコンテナをローキーとして渡すときに発生します。その結果、公開非対称鍵の素材はHMACシークレットとして受け入れられます。その結果、公開鍵を知っている攻撃者が、任意の認証されたクレームでトークンを偽造する可能性があります。この問題はバージョン 2.14.0 で修正されています。(CVE-2026-102273)

    PyJWTは、JSON Webトークン標準のPython実装です。2.1.0から2.15.0までは、jwt/algorithms.py のPyJWT OKPAlgorithm.from_jwkは影響を受けます。これは、private-JWKインポートパスがdとxから派生した公開鍵を比較しないためです。これは、OKP プライベート JWK が、対応していない x および d コンポーネントを供給する場合に発生します。その結果、x から派生したアイデンティティは、d で実行される操作とは異なる場合があります。
    その結果、統合が、プルーフヘッダーからの秘密鍵パラメーターを拒否せずに受け入れる場合、攻撃者が盗まれた送信者制約付きトークンを正当な秘密鍵なしで使用する可能性があります。この問題はバージョン 2.15.0 で修正されています。(CVE-2026-102275)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - PyJWT は、JSON Web トークン標準の Python 実装です。2.14.0より前では、暗号化ローダーによって受け入れられたすべてのPEM表現をis_pem_formatが認識しないため、jwt/utils.py でのis_pem_formatは影響を受けます。これは、アプリケーションがHMACと非対称のアルゴリズムを混合し、変更された公開鍵PEMを生のキーバイトとして供給する場合に発生します。その結果、HMACAlgorithm.prepare_keyは、認識されない非対称公開鍵をHMACの秘密として扱います。その結果、公開鍵を知っている攻撃者が、認証されたHMACトークンを偽造する可能性があります。この問題はバージョン 2.14.0 で修正されています。(CVE-2026-102268)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

It is, therefore, affected by multiple vulnerabilities as referenced in the ALAS2023-2026-3298 advisory.

    A flaw was found in PyJWT. A remote attacker can trigger a Denial of Service (DoS) through outbound     request amplification by submitting tokens containing unknown key identifiers. Because the library does     not cache lookup failures or enforce a minimum refresh interval when fetching signing keys, each invalid     key identifier forces a new request to the remote JSON Web Key Set (JWKS) server. This allows an attacker     to exhaust network resources and overwhelm the configured authentication endpoints. (CVE-2026-101917)

    A flaw was found in PyJWT. When processing a JSON Web Token (JWT) prior to signature verification, the     parser fails to properly handle deeply nested data, leading to an unhandled recursion error. A remote     unauthenticated attacker could exploit this flaw by submitting a specially crafted token, causing the     application to raise an unexpected server exception and resulting in a Denial of Service (DoS).
    (CVE-2026-101918)

    A flaw was found in pyjwt. A remote attacker can forge authentication tokens and bypass security controls     by signing tokens with an empty key. When verifying tokens against a JSON Web Key (JWK) set that contains     an empty Hash-based Message Authentication Code (HMAC) key, the library fails to enforce key-length     validation. This allows an attacker to generate valid tokens carrying arbitrary claims to gain     unauthorized access. (CVE-2026-102266)

    PyJWT is a Python implementation of JSON Web Token standards. Prior to 2.14.0, PyJWT PyJWKClient is     affected because redirect destinations are not revalidated against the JWKS trust boundary. This occurs     when a configured trusted JWKS endpoint returns an attacker-influenced redirect. As a result, PyJWKClient     follows the redirect and consumes the redirected response as key material. Consequently, forwarded     credentials may be disclosed or verification keys may be substituted. This issue is fixed in version     2.14.0. (CVE-2026-102267)

    PyJWT is a Python implementation of JSON Web Token standards. Prior to 2.14.0, is_pem_format in     jwt/utils.py is affected because is_pem_format does not recognize every PEM representation accepted by the     cryptography loader. This occurs when an application mixes HMAC and asymmetric algorithms and supplies a     mutated public-key PEM as raw key bytes. As a result, HMACAlgorithm.prepare_key treats the unrecognized     asymmetric public key as an HMAC secret. Consequently, an attacker who knows the public key can forge     authenticated HMAC tokens. This issue is fixed in version 2.14.0. (CVE-2026-102268)

    PyJWT is a Python implementation of JSON Web Token standards. From 2.4.0 until 2.14.0, PyJWT     HMACAlgorithm.prepare_key is affected because asymmetric-key guard relies on textual markers that are     absent from DER encoding. This occurs when an application mixes HMAC and asymmetric algorithms and     supplies a DER public key as the shared verification key. As a result, PyJWT uses public DER bytes as an     HMAC secret. Consequently, an attacker who knows the public key can forge authenticated HMAC tokens. This     issue is fixed in version 2.14.0. (CVE-2026-102271)

    PyJWT is a Python implementation of JSON Web Token standards. From 2.13.0 until 2.14.0,     HMACAlgorithm.prepare_key in jwt/algorithms.py is affected because raw-JWK detector does not normalize     accepted Unicode byte-order marks before checking for JSON. This occurs when a public JWK is prefixed with     a UTF-8 BOM and used in a mixed-algorithm verification path. As a result, public JWK bypasses asymmetric-     key detection and becomes the HMAC secret. Consequently, an attacker who knows the public key can forge     authenticated tokens. This issue is fixed in version 2.14.0. (CVE-2026-102272)

    PyJWT is a Python implementation of JSON Web Token standards. From 2.13.0 until 2.14.0, PyJWT     HMACAlgorithm.prepare_key is affected because HMAC key guard only recognizes top-level public JWK forms     and misses container representations. This occurs when an application allows HMAC and asymmetric     algorithms and passes a public JWK container as the raw key. As a result, public asymmetric key material     is accepted as the HMAC secret. Consequently, an attacker who knows the public key can forge a token with     arbitrary authenticated claims. This issue is fixed in version 2.14.0. (CVE-2026-102273)

    PyJWT is a Python implementation of JSON Web Token standards. From 2.1.0 until 2.15.0, PyJWT     OKPAlgorithm.from_jwk in  jwt/algorithms.py is affected because private-JWK import path does not compare     the public key derived from d with x. This occurs when an OKP private JWK supplies non-corresponding x and     d components. As a result, identity derived from x can differ from operations performed with d.
    Consequently, if an integration also accepts private key parameters from a proof header without rejecting     them, an attacker may use a stolen sender-constrained token without the legitimate private key. This issue     is fixed in version 2.15.0. (CVE-2026-102275)

Tenable has extracted the preceding description block directly from the tested product security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - PyJWT is a Python implementation of JSON Web Token standards. Prior to 2.14.0, is_pem_format in     jwt/utils.py is affected because is_pem_format does not recognize every PEM representation accepted by the     cryptography loader. This occurs when an application mixes HMAC and asymmetric algorithms and supplies a     mutated public-key PEM as raw key bytes. As a result, HMACAlgorithm.prepare_key treats the unrecognized     asymmetric public key as an HMAC secret. Consequently, an attacker who knows the public key can forge     authenticated HMAC tokens. This issue is fixed in version 2.14.0. (CVE-2026-102268)

Note that Nessus relies on the presence of the package as reported by the vendor.

The version of Tencent Linux installed on the remote TencentOS Server 4 host is prior to tested version. It is, therefore, affected by multiple vulnerabilities as referenced in the TSSA-2026:1087 advisory.

    Package updates are available for TencentOS Server 4 that fix the following vulnerabilities:

    CVE-2026-102272:
    PyJWT is a Python implementation of JSON Web Token standards. From 2.13.0 until 2.14.0,     HMACAlgorithm.prepare_key in jwt/algorithms.py is affected because raw-JWK detector does not normalize     accepted Unicode byte-order marks before checking for JSON. This occurs when a public JWK is prefixed with     a UTF-8 BOM and used in a mixed-algorithm verification path. As a result, public JWK bypasses asymmetric-     key detection and becomes the HMAC secret. Consequently, an attacker who knows the public key can forge     authenticated tokens. This issue is fixed in version 2.14.0.

    CVE-2026-102268:
    PyJWT is a Python implementation of JSON Web Token standards. Prior to 2.14.0, is_pem_format in     jwt/utils.py is affected because is_pem_format does not recognize every PEM representation accepted by the     cryptography loader. This occurs when an application mixes HMAC and asymmetric algorithms and supplies a     mutated public-key PEM as raw key bytes. As a result, HMACAlgorithm.prepare_key treats the unrecognized     asymmetric public key as an HMAC secret. Consequently, an attacker who knows the public key can forge     authenticated HMAC tokens. This issue is fixed in version 2.14.0.

    CVE-2026-102266:
    PyJWT is a Python implementation of JSON Web Token standards. From 2.13.0 until 2.14.0,     HMACAlgorithm.from_jwk is affected because PyJWK verification path used the decoded key without applying     prepare_key validation. This occurs when a trusted JWK Set contains an oct entry with an empty k value. As     a result, an attacker signs an HMAC token with the same zero-length key accepted by PyJWT. Consequently,     forged token can carry arbitrary authenticated claims. This issue is fixed in version 2.14.0.

Tenable has extracted the preceding description block directly from the Tencent Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

An update of the python3 package has been released.

ID	名稱	產品	系列	已發布	已更新	嚴重性
462086	Echo: pyjwt: security update to 2.14.0	Tenable Cloud Security	Echo Local Security Checks	2026/10/2	2026/10/13	critical
462086	Echo: pyjwt: security update to 2.14.0	Tenable Self-Hosted Container Security	Echo Local Security Checks	2026/10/2	2026/10/13	critical
351353	Linux Distros 未修补的漏洞：CVE-2026-102268	Nessus	Misc.	2026/9/30	2026/11/2	critical
371882	Amazon Linux 2023：python3-jwt、python3-jwt+crypto （ALAS2023-2026-3298）	Nessus	Amazon Linux Local Security Checks	2026/10/25	2026/10/25	critical
351353	Linux Distros 未修補弱點：CVE-2026-102268	Nessus	Misc.	2026/9/30	2026/11/2	critical
371882	Amazon Linux 2023：python3-jwt、python3-jwt+crypto （ALAS2023-2026-3298）	Nessus	Amazon Linux Local Security Checks	2026/10/25	2026/10/25	critical
371882	2023 年 Amazon Linux:python3-jwt、python3-jwt+crypto (ALAS2023-2026-3298)	Nessus	Amazon Linux Local Security Checks	2026/10/25	2026/10/25	critical
351353	Linux Distros のパッチ未適用の脆弱性: CVE-2026-102268	Nessus	Misc.	2026/9/30	2026/11/2	critical
371882	Amazon Linux 2023 : python3-jwt, python3-jwt+crypto (ALAS2023-2026-3298)	Nessus	Amazon Linux Local Security Checks	2026/10/25	2026/10/25	critical
351353	Linux Distros Unpatched Vulnerability : CVE-2026-102268	Nessus	Misc.	2026/9/30	2026/11/2	critical
365155	TencentOS Server 4: python-jwt (TSSA-2026:1087)	Nessus	Tencent Local Security Checks	2026/10/12	2026/10/12	critical
374968	Photon OS 5.0: Python3 PHSA-2026-5.0-92-1040	Nessus	PhotonOS Local Security Checks	2026/11/2	2026/11/2	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical