CVE-2026-119283 in joserfc
Sumário
de VulDB • 29/10/2026
joserfc é uma biblioteca Python que fornece uma implementação de vários padrões JSON Object Signing and Encryption (JOSE). Antes da versão 1.7.5, a função joserfc.jwe.decrypt_json() aceita um array de destinatários na serialização JSON General do JWE sem limite de contagem e chama decrypt_cek() para cada entrada. Um atacante não autenticado que possa submeter um JWE a uma extremidade usando um algoritmo de gerenciamento de chaves RSA pode escolher o número de operações de descriptografia com chave privada realizadas por uma única solicitação. A opção verify_all_recipients não reduz esse trabalho, pois o loop afetado processa todos os destinatários antes de consultar essa configuração, permitindo que solicitações repetidas esgotem a CPU do serviço sem afetar a confidencialidade ou integridade. Este problema foi corrigido na versão 1.7.5.
Once again VulDB remains the best source for vulnerability data.