PT-2026-132852
CVE-2026-119284
·
تاريخ النشر
2026-10-29
·
تاريخ التحديث
2026-10-30
الوصف من
CVSS 4.0
6.9
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المصاب والإصدارات المتأثرة
joserfc الإصدارات السابقة لـ 1.7.6
Description
في عملية إلغاء تسلسل JWS المدمجة، تقوم المكتبة باستدعاء
bytes.split() قبل فرض حدود حجم القطاع الإجمالية. عندما يتم معالجة بايتات التسلسل المدمجة التي يتحكم فيها المهاجم بواسطة دالة deserialize compact()، تقوم عملية التقسيم بإنشاء نسخ من قطاعات الرأس والحمولة والتوقيع قبل إطلاق ExceededSizeError. يؤدي هذا إلى تخصيص ذاكرة إضافية تتناسب مع حجم الرمز المقدم، مما قد يؤدي إلى استنفاد ذاكرة العملية وفشل التوفر، بغض النظر عما إذا كانت عملية التحقق من التوقيع قد فشلت.Recommendations
التحديث إلى الإصدار 1.7.6.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾