CVE-2026-119283 in joserfc
要約
〜によって VulDB • 2026年10月29日
joserfcは、複数のJSON Object Signing and Encryption (JOSE)標準の実装を提供するPythonライブラリです。バージョン1.7.5より前では、`joserfc.jwe.decrypt_json()`関数は、件数制限のないJWE General JSON Serializationのrecipients配列を受け取り、各エントリに対して `decrypt_cek()` を呼び出します。RSAキー管理アルゴリズムを使用するエンドポイントにJWEを送信できる認証不要攻撃者は、1つのリクエストで実行される秘密鍵復号化操作の数を指定できます。`verify_all_recipients` オプションはこの処理量を削減しないため、影響を受けるループは当該設定を参照する前にすべてのrecipientを処理し、機密性や整合性に影響を与えることなく、繰り返し要求によってサービスCPUを枯渇させることが可能です。この問題はバージョン1.7.5で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.