CVE-2026-119283 in joserfc
Resumen
por VulDB • 2026-10-29
joserfc es una biblioteca de Python que proporciona una implementación de varios estándares JSON Object Signing and Encryption (JOSE). Antes de la versión 1.7.5, joserfc.jwe.decrypt_json() acepta un array de destinatarios con serialización JSON General JWE sin límite en el número de elementos y llama a decrypt_cek() para cada entrada. Un atacante no autenticado que pueda enviar una JWE a un punto final utilizando un algoritmo de gestión de claves RSA puede elegir la cantidad de operaciones de descifrado con clave privada realizadas por una única solicitud. La opción verify_all_recipients no reduce esta carga computacional porque el bucle afectado procesa cada destinatario antes de consultar dicha configuración, lo que permite agotar la CPU del servicio mediante solicitudes repetidas sin afectar a la confidencialidad ni a la integridad. Este problema se soluciona en la versión 1.7.5.
If you want to get best quality of vulnerability data, you may have to visit VulDB.