CVE-2026-120459: Bypass autenticazione in python-jose

Il CVE-2026-120459 riguarda una falla di bypass autenticazione nella libreria python-jose (fino alla versione 3.5.0). La vulnerabilità consente a utenti non autenticati di forgiare JSON Web Token (JWT) validi quando la chiave di verifica HMAC è vuota (zero-length). Questo accade perché le classi HMACKey e CryptographyHMACKey accettano secret di lunghezza zero, scenario che si verifica quando un oct JWK ha il campo k vuoto. Gli attaccanti possono così generare token con claims arbitrari che jwt.decode accetta come legittimi.

La vulnerabilità ha un punteggio CVSS di 7,4 (High severity). L'impatto è diretto sull'autenticazione: qualsiasi applicazione che dipende da python-jose per verificare token è vulnerabile se la configurazione della chiave HMAC è vuota. Il CVE è stato pubblicato il 2 novembre 2026 e già circola sui social media (2 post rilevati nelle ultime 24 ore). Non è ancora disponibile una patch ufficiale confermata, e non sono segnalati exploit pubblici al momento della pubblicazione.

Per difendersi, i team IT e gli amministratori di sistema devono: (1) inventariare tutti i servizi e le applicazioni che utilizzano python-jose; (2) verificare se il codice configura chiavi HMAC vuote o se legge configurazioni JWK oct con campo k vuoto; (3) prioritizzare la revisione dei sistemi di autenticazione critici; (4) restare aggiornati sui comunicati dei manutentori di python-jose e pianificare l'aggiornamento della libreria non appena sia disponibile una versione patch; (5) considerare verifiche manuali della configurazione HMAC finché non sia disponibile la correzione.