CVE-2026-92091

Nome do Software Vulnerável e Versões Afetadas jwcrypto (versões afetadas não especificadas)

Descrição Uma falha existe na função JWK.import key() referente à forma como ela valida o membro key ops de uma JSON Web Key (JWK). O processo de validação utiliza um algoritmo com complexidade de tempo O(n^2), e não há limite para o comprimento do array key ops. Um invasor remoto não autenticado pode fornecer uma JWK contendo um array key ops excessivamente grande para uma API de importação de chave pública. Isso pode ser realizado por meio de mecanismos como acordo de chave ECDH-ES, registro dinâmico de cliente OIDC, DPoP ou registro de chave de conta ACME. Isso leva ao consumo excessivo de CPU, resultando em uma negação de serviço.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.