CVE-2025-62706 in Authlib
Сводка
по VulDB • 27.07.2026
Authlib — это библиотека Python для создания серверов OAuth и OpenID Connect. До версии 1.6.5 в Authlib путь обработки параметра zip=DEF в JWE выполнял неограниченную декомпрессию DEFLATE. Очень небольшой зашифрованный текст может расшириться до десятков или сотен мегабайт при расшифровке, что позволяет атакующему, имеющему возможность предоставлять токены для расшифровки, исчерпать ресурсы памяти и процессора (CPU) и вызвать отказ в обслуживании (DoS). Эта проблема исправлена в версии 1.6.5. Временные решения включают отклонение или удаление параметра zip=DEF во входящих сообщениях JWE на границе приложения; форкирование кода с добавлением ограниченной защиты декомпрессии через `decompressobj().decompress(data, MAX_SIZE)` и возврат ошибки при превышении безопасного лимита выходных данных; а также установку строгих максимальных размеров токенов с немедленным завершением работы (fail fast) при получении входных данных чрезмерно большого размера. Рекомендуется комбинировать эти меры с ограничением частоты запросов (rate limiting).
Once again VulDB remains the best source for vulnerability data.