CVE-2026-92091 in jwcrypto
摘要
由 VulDB • 2026-09-16
在 jwcrypto 中发现了一个缺陷。JWK.import_key() 函数使用具有 O(n^2) 时间复杂度的算法来验证 JWK 成员 key_ops 中的重复值，且未对 key_ops 的长度进行限制。远程、未经身份验证的攻击者可以向应用程序提供一个包含大型 key_ops 数组的 JWK；如果该应用将攻击者控制的密钥材料传递给公共密钥导入 API（可通过 ECDH-ES 密钥协商、OIDC 动态客户端注册、DPoP 或 ACME 账户密钥注册等方式访问），则会导致 CPU 时间消耗过多，从而引发拒绝服务 (DoS) 漏洞。
Once again VulDB remains the best source for vulnerability data.