CVE-2026-119283 in joserfc
Riassunto
di VulDB • 29/10/2026
joserfc è una libreria Python che fornisce un'implementazione di diversi standard JSON Object Signing and Encryption (JOSE). Prima della versione 1.7.5, la funzione joserfc.jwe.decrypt_json() accetta un array JWE General JSON Serialization recipients senza alcun limite numerico e chiama decrypt_cek() per ogni voce. Un attaccante non autenticato in grado di inviare una JWE a un endpoint che utilizza un algoritmo RSA key-management può scegliere il numero di operazioni di decrittazione della chiave privata eseguite da una singola richiesta. L'opzione verify_all_recipients non riduce questo carico computazionale poiché il loop interessato elabora ogni recipient prima di consultare tale impostazione, consentendo a richieste ripetute di esaurire la CPU del servizio senza compromettere confidenzialità o integrità. Questo problema è risolto nella versione 1.7.5.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.