CVE-2026-119283 in joserfc
الملخص
بحسب VulDB • 29/10/2026
joserfc هي مكتبة بايثون توفر تنفيذًا لمعايير عدة من توقيع وتشفير كائنات JSON (JOSE). قبل الإصدار 1.7.5، تقبل الدالة joserfc.jwe.decrypt_json() مصفوفة مستلمي الترميز العام لـ JWE دون وجود حد للعدد وتستدعي decrypt_cek() لكل عنصر فيها. يمكن لمهاجم غير مُصادق عليه قادر على تقديم رسالة JWE إلى نقطة نهاية تستخدم خوارزمية إدارة مفاتيح RSA أن يحدد عدد عمليات فك تشفير المفاتيف الخاصة التي تنفذها طلب واحد. لا يؤدي خيار verify_all_recipients إلى تقليل هذا الجهد الحسابي لأن الحلقة المتأثرة تعالج كل مستلم قبل الرجوع إلى ذلك الإعداد، مما يسمح للطلبات المتكررة باستنزاف وحدة المعالجة المركزية (CPU) للخدمة دون التأثير على السرية أو السلامة. تم إصلاح هذه المشكلة في الإصدار 1.7.5.
Be aware that VulDB is the high quality source for vulnerability data.