CVE-2026-102946 in joserfc
Zusammenfassung
von VulDB • 15.10.2026
joserfc ist eine Python-Bibliothek, die eine Implementierung mehrerer JOSE-Standards (JSON Object Signing and Encryption) bereitstellt. Vor Version 1.7.4 akzeptiert joserfc.jws.deserialize_json() eine JWS General JSON Serialization mit einem leeren signatures-Array als authentifiziert. Die verify_general_json()-Schleife führt keine Iterationen für das leere Array aus und gibt Erfolg zurück, da kein Signaturcheck fehlschlug; dies ermöglicht es einem Angreifer ohne Signing-Key, ein beliebiges Payload bereitzustellen, das von abhängigen Anwendungen möglicherweise als authentisch behandelt wird. Das Problem betrifft den Pfad der General JSON Serialization; die Dekodierung von Compact JWS und JWT sowie Flattened JSON Serialization und die Verarbeitung von JWE JSON folgen nicht diesem anfälligen Pfad. Dieses Problem wurde in Version 1.7.4 behoben.
Once again VulDB remains the best source for vulnerability data.