issue处理注意事项:
1. 提交正常修复分支的修复PR时,必须关联当前issue,否则无法关闭当前issue;
2. 模板内容需要填写完整, 无论是受影响或者不受影响都需要填写完整内容;
3. 以下为模板中需要填写完整的内容, 请复制到评论区回复;
注: 内容的关键词(影响性分析说明, openEuler评分, 受影响版本排查(受影响/不受影响), 修复是否涉及abi变化(是/否), 原因说明)不能省略,省略后cve-manager将无法正常解析填写内容.

影响性分析说明:

openEuler评分: (评分和向量)

受影响版本排查(受影响/不受影响):
1.master(2.13.0):
2.openEuler-20.03-LTS-SP4(1.7.1):
3.openEuler-22.03-LTS-SP4(2.3.0):
4.openEuler-24.03-LTS-Next(2.8.0):
5.openEuler-24.03-LTS-SP1(2.8.0):
6.openEuler-24.03-LTS-SP3(2.8.0):
7.openEuler-24.03-LTS-SP4(2.8.0):

修复是否涉及abi变化(是/否)：
1.master(2.13.0):
2.openEuler-20.03-LTS-SP4(1.7.1):
3.openEuler-22.03-LTS-SP4(2.3.0):
4.openEuler-24.03-LTS-Next(2.8.0):
5.openEuler-24.03-LTS-SP1(2.8.0):
6.openEuler-24.03-LTS-SP3(2.8.0):
7.openEuler-24.03-LTS-SP4(2.8.0):

原因说明：
1.master(2.13.0):
2.openEuler-20.03-LTS-SP4(1.7.1):
3.openEuler-22.03-LTS-SP4(2.3.0):
4.openEuler-24.03-LTS-Next(2.8.0):
5.openEuler-24.03-LTS-SP1(2.8.0):
6.openEuler-24.03-LTS-SP3(2.8.0):
7.openEuler-24.03-LTS-SP4(2.8.0):

原因说明填写请参考下方表格(注意：版本是否受影响和版本的原因说明必须对应，例如master版本分支受影响，那原因说明只能是受影响对应的原因之一!)：

issue处理具体操作请参考:
https://atomgit.com/openeuler/cve-manager/blob/master/cve-vulner-manager/doc/md/manual.md
pr关联issue具体操作请参考:
https://docs.atomgit.com/docs/help/home/org_project/pullrequests/pr-related-issue

Welcome To openEuler Community

Hey @openeuler-ci-bot , thanks for your contribution to the community.

Bot Usage Manual

I'm the Bot here serving you. You can find the instructions on how to interact with me at Here . That means you can comment below every pull request or issue to trigger Bot Commands. You can self-configure the PR merge rules for this repository. For more details, please refer to Here.

Contact Guide

If you have any questions, please contact the SIG: Base-service ,
and any of the maintainers: @dillon_chen, @licihua, @overweight, @shenyangyang, @xujing99, @zhujianwei001 ,
and any of the committers: @yangyuan32, @zhuchunyi .

/branches master,openEuler-20.03-LTS-SP4,openEuler-22.03-LTS-SP4,openEuler-24.03-LTS-SP4 /name yixiangzhike /email yixiangzhike007@163.com

正在自动化处理任务，任务编号:TASK-gitcode__python-jwt-32-20260929142208-0，指定分支:master

✅ 任务结束 (用时: 4分钟)

正在自动化处理任务，任务编号:TASK-gitcode__python-jwt-32-20260929142209-1，指定分支:openEuler-20.03-LTS-SP4

⏳ 进度更新 (17:58): 已运行 216 分钟 | 当前阶段: Step 5/8 适配补丁

✅ 任务结束 (用时: 219分钟)

正在自动化处理任务，任务编号:TASK-gitcode__python-jwt-32-20260929142210-2，指定分支:openEuler-22.03-LTS-SP4

⏳ 进度更新 (20:14): 已运行 352 分钟 | 当前阶段: Step 5/8 适配补丁

✅ 任务结束 (用时: 355分钟)

正在自动化处理任务，任务编号:TASK-gitcode__python-jwt-32-20260929142210-3，指定分支:openEuler-24.03-LTS-SP4

⏳ 进度更新 (15:42): 已运行 80 分钟 | 当前阶段: Step 8/8 生成评论

✅ 任务结束 (用时: 83分钟)

【任务 #32 · master】CVE-2026-102268

1. 是否受影响

结论：受影响。

CVE-2026-102268 的自有补丁经 Step 4 源码影响性分析判为 APPLICABLE（git apply --check succeeded，补丁可干净应用），说明漏洞代码存在于本版本源码中，需要修复。

• master（2.13.0）：受影响

2. 是否有修复补丁

已找到上游社区修复补丁：

• https://github.com/jpadilla/pyjwt/commit/8b4e233a22206b34ec1186e912e75c0b2396ac07.patch

3. 补丁适配情况

无需额外适配。backport 补丁 backport-CVE-2026-102268.patch 可直接干净应用于 master（2.13.0）源码（状态：applied_clean，置信度：high），无冲突文件、无前置补丁依赖，核心修复逻辑与上游一致。

4. 是否提交 PR

已提交修复 PR：

• master：https://gitcode.com/src-openeuler/python-jwt/merge_requests/59

──────── 复制以下内容回填 issue ────────
受影响版本排查(受影响/不受影响)：
1.master(2.13.0): 受影响
ABI 变化：否
原因说明：
1.正常修复
────────────────────────────────────────

【任务 #32 · openEuler-24.03-LTS-SP4】CVE-2026-102268

1. 是否受影响：受影响。

漏洞位于 PEM 格式校验逻辑：jwt/utils.py 的 is_pem_format 使用旧正则一次性匹配 BEGIN...END。经 Step 4 源码影响性分析，is_pem_format 及其依赖 _PEM_RE/_PEMS 在 PyJWT 2.8.0 源码中全部存在，漏洞模式原样存在、补丁未预先应用（核心 hunk 经 git apply --check 验证可干净应用，仅偏移 3 行）；2.8.0 亦在 NVD 受影响版本列表内。

分支状态：

• openEuler-24.03-LTS-SP4（2.8.0）：受影响

2. 修复补丁：
[原补丁] https://github.com/jpadilla/pyjwt/commit/8b4e233a22206b34ec1186e912e75c0b2396ac07.patch

3. 补丁适配情况：已针对目标分支完成适配（backport-CVE-2026-102268.patch，状态：adapted，置信度：high）。

• 冲突原因：补丁基于上游后续版本。核心修复 hunk（jwt/utils.py 的 PEM 校验修复主体）与 2.8.0 基线无实质冲突，仅行号偏移 +3；冲突集中在 tests/test_algorithms.py 的 2 个 hunk——基线 import 行为 from typing import Any, cast（上游后续版本为 Union, cast），且基线测试函数无 -> None: 类型标注，直接应用报 patch does not apply。
• 适配内容：核心修复 hunk 原样保留；测试 hunk 做最小上下文适配——import 行调整为 from typing import Any, Callable, cast（保留基线必需的 Any、新增补丁所需的 Callable），新增测试 hunk 仅调整尾随上下文行以匹配无类型标注的基线，42 行新增测试逐字节保留。核心修复逻辑完全保真。
• 落地验证：适配补丁在干净基线 worktree 上 git apply --check 通过；header 与原补丁逐字节一致，63 行核心变更逐字节比对仅 import 一对按计划适配；py_compile 通过；新增测试 pytest 6 passed。适配补丁已应用到源码目录（commit 21b0cb6，基线 8077204）。

前置补丁：无。

4. PR 提交情况：已提交 PR。

• openEuler-24.03-LTS-SP4：https://gitcode.com/src-openeuler/python-jwt/merge_requests/60

──────── 复制以下内容回填 issue ────────
受影响版本排查(受影响/不受影响)：
1.openEuler-24.03-LTS-SP4(2.8.0): 受影响
ABI 变化：N/A
原因说明：
1.正常修复
────────────────────────────────────────

经过cve-manager解析，部分字段填写错误，如红色字体所示：

影响性分析说明:
(请填写此字段)

openEuler评分: (评分和向量)
(请填写此字段)

受影响版本排查(受影响/不受影响):
1.master:(请填写此字段)
2.openEuler-20.03-LTS-SP4:(请填写此字段)
3.openEuler-22.03-LTS-SP4:(请填写此字段)
4.openEuler-24.03-LTS-Next:(请填写此字段)
5.openEuler-24.03-LTS-SP1:(请填写此字段)
6.openEuler-24.03-LTS-SP3:(请填写此字段)
7.openEuler-24.03-LTS-SP4:(请填写此字段)

修复是否涉及abi变化(是/否)：
1.master:(请填写此字段)
2.openEuler-20.03-LTS-SP4:(请填写此字段)
3.openEuler-22.03-LTS-SP4:(请填写此字段)
4.openEuler-24.03-LTS-Next:(请填写此字段)
5.openEuler-24.03-LTS-SP1:(请填写此字段)
6.openEuler-24.03-LTS-SP3:(请填写此字段)
7.openEuler-24.03-LTS-SP4:(请填写此字段)

原因说明：
1.master:(请填写此字段)
2.openEuler-20.03-LTS-SP4:(请填写此字段)
3.openEuler-22.03-LTS-SP4:(请填写此字段)
4.openEuler-24.03-LTS-Next:(请填写此字段)
5.openEuler-24.03-LTS-SP1:(请填写此字段)
6.openEuler-24.03-LTS-SP3:(请填写此字段)
7.openEuler-24.03-LTS-SP4:(请填写此字段)

【任务 #32 · openEuler-20.03-LTS-SP4】CVE-2026-102268

一、是否受影响

结论：受影响。

CVE-2026-102268 点名的 is_pem_format 漏洞模式在目标分支源码中原样存在：PyJWT-1.7.1 的 jwt/utils.py:137-148 中 _PEM_RE 要求 BEGIN/END 标记间必须是 \r?\n 结构的严格正则，不识别 cryptography 密钥加载器接受的 CRLF-only、无换行、tab 前缀 END 等 PEM 变体；其调用方 HMACAlgorithm.prepare_key（jwt/algorithms.py:142）因此会把非对称 PEM 密钥当作 HMAC 秘钥接受，与 CVE 描述的算法混淆/验证绕过完全吻合。Step 4 源码影响性分析判为 NEEDS_ADAPTATION，补丁删除的 _PEM_RE 块与源码逐字节一致，修复符号在源码中不存在（补丁未预应用），漏洞代码存在于本版本源码，需要修复。

分支状态：

• openEuler-20.03-LTS-SP4（版本 1.7.1）：受影响

二、是否有修复补丁

已找到上游修复补丁：

• https://github.com/jpadilla/pyjwt/commit/8b4e233a22206b34ec1186e912e75c0b2396ac07.patch

三、补丁适配情况

存在适配。补丁 backport-CVE-2026-102268.patch，状态：已适配（adapted），置信度：high。

• 冲突原因：原补丁针对上游 PyJWT 2.x（带类型注解），与目标 1.7.1 的无注解签名不匹配，3 个 hunk 全部无法直接应用；且 spec 同时构建 python2-jwt/python3-jwt 子包、%check 以双解释器跑 setup.py test，两文件必须保持 Python 2.7 可解析。

• 适配内容：

  1. jwt/utils.py 上下文行对齐 1.7.1 的无注解函数签名；
  2. 核心行 begin_markers: dict[bytes, int] = {} 改写为 begin_markers = {}（PEP 526 局部变量注解在 py2.7 是 SyntaxError，注解运行时不求值，改写等价保语义）；
  3. tests 的 typing import hunk 适配为无变更，新增的 4 个测试剥离全部 py3-only 注解（参数注解、-> None×4、多行 def 还原单行）。

  核心安全逻辑（_PEM_MARKER_RE 正则与 is_pem_format 的 BEGIN/END 配对算法）与原补丁逐字节一致；被删的 _PEM_RE 块与原补丁删除行逐字节一致。

• 落地验证：适配补丁已应用，diff stat 为 2 files changed, 50 insertions(+), 8 deletions(-)。

四、是否提交 PR

已提交 PR：

• openEuler-20.03-LTS-SP4：https://gitcode.com/src-openeuler/python-jwt/merge_requests/65

──────── 复制以下内容回填 issue ────────
受影响版本排查(受影响/不受影响)：
1.openEuler-20.03-LTS-SP4(1.7.1): 受影响
ABI 变化：N/A
原因说明：
1.正常修复
────────────────────────────────────────

【任务 #32 · openEuler-22.03-LTS-SP4】CVE-2026-102268

1. 是否受影响：受影响

CVE-2026-102268 源于 PyJWT is_pem_format 仅以 _PEM_RE 正则判断 PEM 格式，无法识别 cryptography loader 接受的 PEM 变体，存在密钥/算法混淆风险。Step 4 源码影响性分析确认漏洞代码位于 PyJWT-2.3.0/jwt/utils.py:133-134（return bool(_PEM_RE.search(key))，配合 utils.py:123-129 的 _PEM_RE），漏洞代码存在于本版本源码，需要修复。

• openEuler-22.03-LTS-SP4（2.3.0）：受影响

2. 修复补丁

上游社区补丁：https://github.com/jpadilla/pyjwt/commit/8b4e233a22206b34ec1186e912e75c0b2396ac07.patch

3. 补丁适配情况：已适配（backport-CVE-2026-102268.patch，置信度 high）

• 冲突原因：原补丁共 3 个 hunk。jwt/utils.py 核心修复 hunk 与 2.3.0 源码逐行一致，仅整体 +7 行偏移，可直接应用；两个测试 hunk 携带上游 2.14.0 才有的代码——要删除的 from typing import Union, cast 导入行在 2.3.0 测试文件中不存在，测试方法尾部的 -> None: 类型注解在 2.3.0 中亦无，无法原样应用。
• 适配内容：核心修复 hunk（_PEM_RE → _PEM_MARKER_RE 并重写 is_pem_format）逐字节原样保留，核心修复逻辑保真；测试 hunk 做最小适配——在 import json 后纯插入 from typing import Callable, Union, cast（新增行逐字节保留、无删除行），并将尾部上下文行对齐 baseline 实际内容（上下文行非变更行），42 个新增行逐字节保留。无结构性偏离（不改继承/签名/变量引用/语法糖/定义位置）。
• 落地验证：适配补丁已应用并提交到 source_dir（baseline e3a8692 之上，2 files changed, 55 insertions(+), 8 deletions(-)），_PEM_MARKER_RE 与 4 个新测试经 grep 确认存在；在干净 baseline worktree 上 git apply --check 通过；pytest：-k pem 9 passed 3 skipped，全文件 23 passed 46 skipped（skip 均为 cryptography 未安装），0 failed。
• 无前置补丁。

4. PR

已提交 PR：https://gitcode.com/src-openeuler/python-jwt/merge_requests/66（openEuler-22.03-LTS-SP4）

──────── 复制以下内容回填 issue ────────
受影响版本排查(受影响/不受影响)：
1.openEuler-22.03-LTS-SP4(2.3.0): 受影响
ABI 变化：N/A
原因说明：
1.正常修复
────────────────────────────────────────

🔍 CVE 项目匹配性分析结果

CVE: CVE-2026-102268

针对分支: master

结果: ❌ 不匹配

原因: CVE-2026-102268 存在：NVD totalResults=1，MITRE 记录状态 PUBLISHED（CNA=GitHub_M，product=pyjwt，affected < 2.14.0，CVSS 9.1 Critical），Issue 引用的 GHSA-ffc3-869f-jxw9 网页访问 HTTP 200 且含该 CVE（Advisory API 对该 GHSA 返回 404 系同步延迟，以网页为准）。组件匹配：CVE 影响组件 pyjwt 与项目包名 python-jwt 对应（SPEC Name: python-jwt，Source0 pyjwt-2.13.0.tar.gz）。版本匹配：受影响范围 < 2.14.0，当前 SPEC Version 2.13.0 在范围内。漏洞代码存在性已验证：pyjwt-2.13.0 源码 jwt/utils.py:126 存在 is_pem_format，jwt/algorithms.py:228 存在 HMACAlgorithm.prepare_key，即被绕过的 PEM 识别逻辑与 HS/asymmetric 混淆防护路径均在当前版本中存在。结论 MATCHED。备注（供阶段二存量检查）：master 分支 SPEC 已含 Patch6000: backport-CVE-2026-102268.patch 且 %autosetup 应用，changelog 记录 2.13.0-2 fix CVE-2026-102268，疑似已修复，需 Reviewer 确认。

说明:

• 此结论仅针对上述分支；仓库包含多个分支，其他分支是否受影响请维护者结合各分支实际情况判断
• 如有疑问，请联系安全团队确认

此评论由 Claude Agent Team（项目经理）自动生成

影响性分析说明：PyJWT is a Python implementation of JSON Web Token standards. Prior to 2.14.0, is_pem_format in jwt/utils.py is affected because is_pem_format does not recognize every PEM representation accepted by the cryptography loader. This occurs when an application mixes HMAC and asymmetric algorithms and supplies a mutated public-key PEM as raw key bytes. As a result, HMACAlgorithm.prepare_key treats the unrecognized asymmetric public key as an HMAC secret. Consequently, an attacker who knows the public key can forge authenticated HMAC tokens. This issue is fixed in version 2.14.0.

openEuler评分：9.1 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

受影响版本排查(受影响/不受影响)：
1.master(2.13.0):受影响
2.openEuler-20.03-LTS-SP4(1.7.1):受影响
3.openEuler-22.03-LTS-SP4(2.3.0):受影响
4.openEuler-24.03-LTS-Next(2.8.0):受影响
5.openEuler-24.03-LTS-SP1(2.8.0):受影响
6.openEuler-24.03-LTS-SP3(2.8.0):受影响
7.openEuler-24.03-LTS-SP4(2.8.0):受影响

修复是否涉及abi变化(是/否)：
1.master(2.13.0):否
2.openEuler-20.03-LTS-SP4(1.7.1):否
3.openEuler-22.03-LTS-SP4(2.3.0):否
4.openEuler-24.03-LTS-Next(2.8.0):否
5.openEuler-24.03-LTS-SP1(2.8.0):否
6.openEuler-24.03-LTS-SP3(2.8.0):否
7.openEuler-24.03-LTS-SP4(2.8.0):否

原因说明：
1.master(2.13.0):正常修复
2.openEuler-20.03-LTS-SP4(1.7.1):正常修复
3.openEuler-22.03-LTS-SP4(2.3.0):正常修复
4.openEuler-24.03-LTS-Next(2.8.0):正常修复
5.openEuler-24.03-LTS-SP1(2.8.0):正常修复
6.openEuler-24.03-LTS-SP3(2.8.0):正常修复
7.openEuler-24.03-LTS-SP4(2.8.0):正常修复

@openeuler-ci-bot 经过 cve-manager 解析, 已分析的内容如下表所示:

请确认分析内容的准确性, 确认无误后, 您可以进行后续步骤, 否则您可以继续分析.

经过cve-manager解析，部分分支PR未合入，如红色字体所示：

原因说明：
1.master:正常修复
2.openEuler-20.03-LTS-SP4:正常修复(PR未合入)
3.openEuler-22.03-LTS-SP4:正常修复
4.openEuler-24.03-LTS-Next:正常修复
5.openEuler-24.03-LTS-SP1:正常修复
6.openEuler-24.03-LTS-SP3:正常修复
7.openEuler-24.03-LTS-SP4:正常修复

经过cve-manager解析，(所有PR均已合入)