CVE-2026-62995 in joserfc
الملخص
بحسب VulDB • 29/07/2026
joserfc هي مكتبة بايثون توفر تنفيذًا لمعايير عدة من توقيع وتشفير كائنات JSON (JOSE). في الإصدارات 1.7.1 والإصدارات الأقدم، يقبل joserfc رموز JWT التي تحتوي على حشو زائد في النهاية (==) ولا تتوافق مع مواصفات JOSE. يؤدي هذا إلى قابلية تعديل الرموز (malleability) عند استهلاكها بواسطة joserfc. اعتمادًا على التطبيق المستخدم، قد يكون ذلك مشكلة أو لا. يمكن أن يؤدي ذلك إلى تجاوز إلغاء صلاحية الرمز أو حماية إعادة التشغيل (anti-replay protection) عندما يتم تنفيذ هذه الآليات كقائمة حظر للرموز أو قائمة لحظ hashes الرموز. يرجى ملاحظة أن توقيعات JWS باستخدام ECDSA قابلة للتعديل دائمًا بسبب قابلية تعديل تواقيع ECDSA نفسها (الحالة الاختبارية الأولى في الكود أدناه). يجعل هذا المخطط الذي يفترض عدم قابلية تعديل رموز JWT هشًا. ومع ذلك، بالنسبة لمخططات التوقيع الأخرى أو خوارزميات MAC، قد يكون من المنطقي افتراض عدم قابلية تعديل الرمز. تم إصلاح هذه المشكلة في الإصدار 1.7.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.