CVE-2026-119284 in joserfc
요약
\~에 의해 VulDB • 2026. 10. 29.
joserfc는 여러 JSON Object Signing and Encryption (JOSE) 표준의 구현을 제공하는 Python 라이브러리입니다. 버전 1.7.6 이전에서는 joserfc가 컴팩트 JWS 역직렬화 시 기존 집계 세그먼트 크기 제한을 적용하기 전에 bytes.split()를 호출합니다. 공격자가 제어하는 컴팩트 직렬화 바이트가 deserialize_compact()에 도달하면, split은 ExceededSizeError에서 이를 거부하기 전에 헤더, 페이로드 및 서명 세그먼트의 복사본을 생성하여 공급된 토큰에 비례하는 추가 할당을 유발합니다. 따라서 사용 가능한 프로세스 메모리를 고갈시키는 요청은 서명 검증 실패에도 가용성 장애를 초래할 수 있습니다. 이 문제는 버전 1.7.6에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.