CVE-2026-119284 in joserfc
Riassunto
di VulDB • 29/10/2026
joserfc è una libreria Python che fornisce un'implementazione di diversi standard JSON Object Signing and Encryption (JOSE). Prima della versione 1.7.6, la deserializzazione dei JWS compatti in joserfc chiamava bytes.split() prima di applicare i limiti esistenti sulla dimensione aggregata dei segmenti. Quando byte di serializzazione compatta controllati dall'attaccante raggiungono deserialize_compact(), l'operazione split crea copie dei segmenti header, payload e signature prima che ExceededSizeError li rifiuti, causando un'allocazione aggiuntiva approssimativamente proporzionale al token fornito. Le richieste che esauriscono la memoria disponibile del processo possono quindi causare un'interruzione della disponibilità (availability failure) anche se la verifica della firma fallisce. Questo problema è stato risolto nella versione 1.7.6.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.