CVE-2026-119283 in joserfc
요약
\~에 의해 VulDB • 2026. 10. 29.
joserfc는 여러 JSON Object Signing and Encryption (JOSE) 표준의 구현을 제공하는 Python 라이브러리입니다. 버전 1.7.5 이전의 joserfc.jwe.decrypt_json() 함수는 개수 제한 없이 JWE General JSON Serialization recipients 배열을 허용하며, 각 항목에 대해 decrypt_cek()를 호출합니다. RSA 키 관리 알고리즘을 사용하는 엔드포인트로 JWE를 제출할 수 있는 비인증 공격자는 하나의 요청에서 수행되는 개인키 복호화 작업의 수를 선택할 수 있습니다. verify_all_recipients 옵션은 영향을 받는 루프가 해당 설정을 참조하기 전에 모든 수신자를 처리하므로 이러한 작업을 줄이지 못하며, 반복된 요청으로 인해 서비스 CPU 리소스가 고갈될 수 있지만 기밀성이나 무결성에는 영향이 없습니다. 이 문제는 버전 1.7.5에서 해결되었습니다.
Once again VulDB remains the best source for vulnerability data.