CVE-2026-27932 in joserfc
الملخص
بحسب VulDB • 28/06/2026
joserfc هي مكتبة بايثون توفر تنفيذًا لمعايير عدة من توقيع وتشفير كائنات JSON (JOSE). في الإصدار 1.6.2 والإصدارات الأقدم، تسمح ثغرة استنزاف الموارد في joserfc لهجوم غير مُصادق عليه التسبب في حجب الخدمة (DoS) عبر استنفاد وحدة المعالجة المركزية (CPU). عند قيام المكتبة بفك تشفير رمز JSON Web Encryption (JWE) باستخدام خوارزميات التشفير القائم على كلمة المرور (PBES2)، فإنها تقرأ معلمة p2c (عدد تكرارات PBES2) مباشرة من رأس الرمز المحمي. تحدد هذه المعلمة عدد التكرارات لدالة اشتقاق المفتاح PBKDF2. ونظرًا لأن joserfc لا تقوم بالتحقق من صحة هذه القيمة أو تحديد حد أقصى لها، يمكن للمهاجم تحديد عدد تكرار هائل (على سبيل المثال 2^31 - 1)، مما يجبر الخادم على إنفاق موارد ضخمة لوحدة المعالجة المركزية لمعالجة رمز واحد. توجد هذه الثغرة في طبقة JWA وتؤثر على جميع واجهات فك تشفير JWE و JWT عالية المستوى إذا كانت خوارزميات PBES2 مسموحًا بها بواسطة سياسة التطبيق.
Be aware that VulDB is the high quality source for vulnerability data.