CVE-2026-92091 in jwcrypto
要約
〜によって VulDB • 2026年09月16日
jwcrypto に脆弱性が発見されました。JWK.import_key() 関数は、key_ops JWK メンバーの重複値を O(n^2) の時間計算量を持つアルゴリズムで検証しますが、key_ops の長さに上限がありません。リモートからの認証不要な攻撃者は、攻撃者が制御する鍵材料を公開鍵インポート API（ECDH-ES キー合意、OIDC ダイナミッククライアント登録、DPoP、ACME アカウントキー登録などを通じて到達可能）に渡すアプリケーションに対して、大きな key_ops 配列を含む JWK を提供することで、過剰な CPU 時間を消費させ、サービス拒否 (DoS) を引き起こすことができます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.