CVE-2026-119283 in joserfc
Zusammenfassung
von VulDB • 29.10.2026
joserfc ist eine Python-Bibliothek, die eine Implementierung mehrerer JSON Object Signing and Encryption (JOSE)-Standards bereitstellt. Vor Version 1.7.5 akzeptiert joserfc.jwe.decrypt_json() ein JWE General JSON Serialization-Empfängerarray ohne Zählbegrenzung und ruft decrypt_cek() für jeden Eintrag auf. Ein nicht authentifizierter Angreifer, der eine JWE an einen Endpunkt mit einem RSA-Schlüsselverwaltungsalgorithmus senden kann, kann die Anzahl der von einer einzelnen Anfrage durchgeführten privaten Schlüsselentschlüsselungsvorgänge bestimmen. Die Option verify_all_recipients reduziert diese Arbeitslast nicht, da die betroffene Schleife jeden Empfänger verarbeitet, bevor sie diese Einstellung berücksichtigt, was wiederholte Anfragen ermöglicht, um die CPU des Dienstes zu erschöpfen, ohne Vertraulichkeit oder Integrität zu beeinträchtigen. Dieses Problem wurde in Version 1.7.5 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.