CVE-2026-62995 in joserfc
Sumário
de VulDB • 29/07/2026
joserfc é uma biblioteca Python que fornece uma implementação de vários padrões JSON Object Signing and Encryption (JOSE). Nas versões 1.7.1 e anteriores, o joserfc aceita JWTs com preenchimento final (==) que não estão em conformidade com as especificações JOSE. Isso leva à malleability dos JWTs quando processados pelo joserfc. Dependendo da aplicação, isso pode ou não ser um problema. Isso poderia levar ao bypass de revogação de tokens ou proteção anti-replay quando implementado como uma lista negra (deny list) de tokens ou uma lista negra de hashes de tokens. Note que os JWS ECDSA são sempre malleable devido à malleability das assinaturas ECDSA (primeiro caso de teste no código abaixo). Isso torna um esquema que assume que JWTs não são malleable frágil. No entanto, para outros esquemas de assinatura (ou MAC), pode fazer sentido assumir a non-malleability do token. Este problema foi corrigido na versão 1.7.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.