CVE-2026-39373
Təsvir
JWCrypto, python-cryptography istifadə edərək JWK, JWS və JWE spesifikasiyalarını tətbiq edir. 1.5.7 versiyasından əvvəl autentifikasiya olunmamış hücumçu, ZIP sıxılması olan xüsusi hazırlanmış JWE tokenləri göndərməklə server yaddaşını doldura bilər. CVE-2024-28102 üçün mövcud yamla giriş tokeninin ölçüsü 250KB ilə məhdudlaşdırılır, lakin sıxılmışdan çıxarılmış çıxış ölçüsü yoxlanılmır. Autentifikasiya olunmamış hücumçu, yaddaş resursları məhdud olan sistemlərdə yaddaşın tükənməsinə səbəb ola bilər. 250KB-lıq giriş limitindən aşağı olan bir token təxminən 100MB-a qədər sıxılışı açıla bilər. Bu zəiflik 1.5.7 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- latchset jwcrypto1.5.7 və ya daha yeni versiya
- jwcrypto1.5.7 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| latchset jwcrypto | v < 1.5.7 | 1.5.7 |
| jwcryptoPyPI | v < 1.5.7 | 1.5.7 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.