CVE-2026-119283

Nome do Software Vulnerável e Versões Afetadas joserfc versões anteriores a 1.7.5

Description A função decrypt json() no módulo joserfc.jwe processa um array de destinatários de Serialização JSON Geral de JWE sem um limite de contagem, chamando decrypt cek() para cada entrada. Um invasor não autenticado pode enviar um JWE para um endpoint usando um algoritmo de gerenciamento de chaves RSA para controlar o número de operações de descriptografia de chave privada executadas em uma única solicitação. Como o loop processa todos os destinatários antes de verificar a opção verify all recipients, solicitações repetidas podem esgotar a CPU do serviço. Este problema afeta a disponibilidade, mas não compromete a confidencialidade ou a integridade.

Recommendations Atualizar para a versão 1.7.5.