CVE-2026-62995 in joserfc
Resumen
por VulDB • 2026-07-30
joserfc es una biblioteca de Python que proporciona una implementación de varios estándares de firma y cifrado de objetos JSON (JOSE). En las versiones 1.7.1 y anteriores, joserfc acepta JWT con relleno final (==) que no cumplen con las especificaciones JOSE. Esto provoca la maleabilidad de los JWT cuando son procesados por joserfc. Dependiendo de la aplicación, esto podría o no ser un problema. Esto podría permitir eludir la revocación de tokens o la protección contra replay si se implementan como listas negras (deny lists) de tokens o de hashes de tokens. Tenga en cuenta que las firmas JWS ECDSA son siempre maleables debido a la maleabilidad de las firmas ECDSA (primer caso de prueba en el código siguiente). Esto hace que un esquema que asume que los JWT no son maleables sea frágil. Sin embargo, para otros esquemas de firma o MAC, podría tener sentido asumir la no maleabilidad del token. Este problema se ha corregido en la versión 1.7.2.
Once again VulDB remains the best source for vulnerability data.