CVE-2026-27932

joserfc bir neçə JSON Object Signing and Encryption (JOSE) standartının tətbiqini təmin edən Python kitabxanasıdır. Versiya 1.6.2 və daha əvvəlki versiyalarda, joserfc-də resursların tükənməsi zəifliyi autentifikasiya olunmamış hücumçuya CPU-nun tükənilməsi vasitəsilə Xidmətdən imtina (DoS) yaratmağa imkan verir. Kitabxana Password-Based Encryption (PBES2) alqoritmlərindən istifadə edərək JSON Web Encryption (JWE) tokenini dekripsiya etdikdə, p2c (PBES2 Count) parametrini birbaşa tokenin qorunan başlığından oxuyur. Bu parametr PBKDF2 açar törətmə funksiyasının iterasiyaların sayını müəyyən edir. joserfc bu dəyəri yoxlamadığı və ya məhdudlaşdırmadığı üçün, hücumçu həddindən artıq böyük iterasiya sayı (məsələn, 2^31 - 1) təyin edərək serveri tək bir tokeni emal etmək üçün böyük CPU resursları sərf etməyə məcbur edə bilər. Bu zəiflik JWA təbəqəsində mövcuddur və tətbiqin siyasəti tərəfindən PBES2 alqoritmlərinə icazə verildiyi təqdirdə bütün yüksək səviyyəli JWE və JWT dekripsiya interfeyslərinə təsir göstərir.