CVE-2025-62706

Authlib, OAuth və OpenID Connect serverləri qurmaq üçün istifadə olunan bir Python kitabxanasıdır. Versiya 1.6.5-dən əvvəl, Authlib-in JWE zip=DEF yolu məhdudiyyətsiz DEFLATE sıxılması açma prosesini yerinə yetirir. Çox kiçik şifrəli mətn dekripsiya zamanı onlarla və ya yüzlərlə meqabayta genişlənə bilər ki, bu da dekripsiya edilə bilən tokenlər təmin edə bilən hücumçuya yaddaşı və CPU-nu tükətməyə və xidmətdən imtinaya səbəb olmağa imkan verir. Bu problem versiya 1.6.5-də aradan qaldırılmışdır. Problemin həlli yollarına tətbiqin sərhədində daxil olan JWE-lər üçün zip=DEF parametrinin rədd edilməsi və ya silinməsi, fork edilərək decompressobj().decompress(data, MAX_SIZE) vasitəsilə məhdudlaşdırılmış sıxılmanı açma mühafizəsinin əlavə edilməsi və çıxış təhlükəsiz limiti aşdıqda xətanın qaytarılması və ya ciddi maksimum token ölçülərinin tətbiqi və həddindən artıq böyük girişlərdə sürətli uğursuzluğun təmin edilməsi; həmçinin bununla birlikdə tezlik məhdudiyyətinin (rate limiting) tətbiqi daxildir.