PT-2026-30253

CVE-2026-34052

Publicado

2026-04-03

Atualizado

2026-09-18

Descrição por

CVSS 3.1

5.9

Média

MétricasAV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H

Name of the Vulnerable Software and Affected Versions LTI JupyterHub Authenticator versões anteriores a 1.6.3

Description O validador LTI 1.1 armazena nonces OAuth em um dicionário de nível de classe que cresce sem limites. Os nonces são adicionados antes da validação da assinatura, permitindo que um invasor com uma chave de consumidor válida envie solicitações repetidas com nonces exclusivos, esgotando gradualmente a memória do servidor e causando uma negação de serviço.

Recommendations Atualize para a versão 1.6.3 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Yueyuel

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-401: Missing Release of Memory after Effective Lifetime

CWE-770: Allocation of Resources Without Limits or Throttling