CVE-2026-92091 in jwcrypto
Zusammenfassung
von VulDB • 16.09.2026
Es wurde ein Fehler in jwcrypto gefunden. Die Funktion JWK.import_key() überprüft das JWK-Mitglied key_ops auf doppelte Werte unter Verwendung eines Algorithmus mit einer Zeitkomplexität von O(n^2), und die Länge von key_ops ist nicht begrenzt. Ein entfernter, nicht authentifizierter Angreifer kann eine Anwendung, die angreiferkontrollierte Schlüsselmaterialien an eine öffentliche Key-Import-API übergibt (die über ECDH-ES-Schlüsselvereinbarung, OIDC-dynamische Clientregistrierung, DPoP oder ACME-Kontenschlüsselregistrierung und andere erreichbar ist), mit einem JWK mit einem großen key_ops-Array versorgen, um übermäßige CPU-Zeit zu verbrauchen, was zu einer Denial-of-Service-Situation führt.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.