CVE-2026-27932 in joserfc
Resumen
por VulDB • 2026-07-03
joserfc es una biblioteca de Python que proporciona una implementación de varios estándares de Firma y Cifrado de Objetos JSON (JOSE). En las versiones 1.6.2 y anteriores, una vulnerabilidad de agotamiento de recursos en joserfc permite a un atacante no autenticado provocar una Denegación de Servicio (DoS) mediante el agotamiento del CPU. Cuando la biblioteca descifra un token JSON Web Encryption (JWE) utilizando algoritmos de Cifrado Basado en Contraseña (PBES2), lee directamente el parámetro p2c (Cuenta PBES2) desde el encabezado protegido del token. Este parámetro define el número de iteraciones para la función de derivación de claves PBKDF2. Dado que joserfc no valida ni acota este valor, un atacante puede especificar un recuento de iteraciones extremadamente grande (por ejemplo, 2^31 - 1), obligando al servidor a gastar recursos masivos de CPU para procesar un único token. Esta vulnerabilidad existe en la capa JWA y afecta a todas las interfaces de descifrado de alto nivel de JWE y JWT si los algoritmos PBES2 están permitidos por la política de la aplicación.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.