CVE-2026-49852
Təsvir
joserfc, bir neçə JSON Object Signing and Encryption (JOSE) standartının implementasiyasını təqdim edən Python kitabxanasıdır. 1.6.8 versiyasından əvvəl joserfc.jwt.decode, çağıran tərəfindən verilən yoxlama açarı boş sətir və ya None olduqda, hücumçu tərəfindən saxtalaşdırılmış HMAC ilə imzalanmış tokenləri qəbul edir, çünki src/joserfc/_rfc7518/jws_algs.py faylındakı HMACAlgorithm.sign və HMACAlgorithm.verify funksiyaları OctKey.get_op_key(...) funksiyasının nəticəsini hmac.new(...) funksiyasına ötürür və src/joserfc/_rfc7518/oct_key.py faylındakı OctKey.import_key yalnız 14 baytdan qısa açarlar üçün SecurityWarning yayımlayır, sıfır uzunluqlu girişi isə rədd etmir. Bu problem 1.6.8 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- joserfc1.6.8 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| joserfcPyPI | v < 1.6.8 | 1.6.8 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.