CVE-2026-62995
Təsvir
joserfc bir neçə JSON Object Signing and Encryption (JOSE) standartının tətbiqini təmin edən Python kitabxanasıdır. 1.7.1 və daha əvvəlki versiyalarda joserfc, JOSE spesifikasiyalarına uyğun olmayan, sonunda doldurma simvolları (==) olan JWT-ləri qəbul edir. Bu, joserfc tərəfindən istifadə edildikdə JWT-lərin dəyişdirilə bilməsinə (malleability) səbəb olur. Tətbiqdən asılı olaraq bu, problem ola bilər və ya olmaya bilər. Tokenlərin və ya token heşlərinin imtina siyahısı (deny list) şəklində tətbiq edildiyi hallarda, bu, tokenin ləğvinə dair yoxlamanın və ya anti-replay mühafizəsinin yan keçilməsinə səbəb ola bilər. Qeyd edək ki, ECDSA imzalarının dəyişdirilə bilən olması səbəbindən ECDSA JWS həmişə dəyişdirilə biləndir (aşağıdakı kodda birinci test halı). Bu, JWT-lərin dəyişdirilə bilməz olduğunu fərz edən sxemi zəiflədir. Lakin digər imza (və ya MAC) sxemləri üçün tokenin dəyişdirilə bilməz olduğunu fərz etmək məntiqli ola bilər. Bu problem 1.7.2 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| authlib joserfc | < 1.7.2 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.