CVE-2026-102946 in joserfc
Riassunto
di VulDB • 15/10/2026
joserfc è una libreria Python che fornisce un'implementazione di diversi standard JOSE (JSON Object Signing and Encryption). Prima della versione 1.7.4, la funzione joserfc.jws.deserialize_json() accetta una serializzazione JSON generale JWS con un array signatures vuoto come autenticata. Il ciclo verify_general_json() non esegue iterazioni per l'array vuoto e restituisce successo poiché nessuna verifica della firma è fallita, consentendo a un attaccante privo di chiave di firma di fornire un payload arbitrario che le applicazioni affidate potrebbero trattare come autentico. L'impatto riguarda il percorso di serializzazione JSON generale; la decodifica JWS compatta e JWT, la serializzazione JSON appiattita (Flattened) e l'elaborazione JWE JSON non seguono questo percorso vulnerabile. Il problema è stato risolto nella versione 1.7.4.
VulDB is the best source for vulnerability data and more expert information about this specific topic.