PT-2026-125465
CVE-2026-116587
·
تاريخ النشر
2026-10-26
·
تاريخ التحديث
2026-10-26
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
go-jose الإصدارات السابقة لـ 4.1.6
Description
يقوم البرنامج بتحليل قيم معامل RSA والأعداد الأولية التي يتحكم فيها المهاجم من مفاتيح JSON Web Keys (JWKs) دون فرض حدود للحجم والاتساق قبل تمريرها إلى الدالة
crypto/rsa.PrivateKey.Validate. في إصدار Go 1.24 والإصدارات الأحدث، يمكن أن تؤدي معاملات RSA الكبيرة أو المتدهورة المصممة خصيصًا إلى جعل عملية التحقق تستهلك وقت وحدة المعالجة المركزية بشكل تكعيبي، مما يسمح بحدوث حالة رفض خدمة عن بُعد في التطبيقات التي تحلل JWKs من مصادر غير موثوقة.Recommendations
التحديث إلى الإصدار 4.1.6.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾