CVE-2025-27144

Go JOSE; JSON Web Encryption (JWE), JSON Web Signature (JWS) ve JSON Web Token (JWT) standartları dahil olmak üzere Javascript Object Signing and Encryption standartlarının Go dilindeki bir uygulamasını sağlar. 4.x dalının 4.0.5 sürümünden önceki versiyonlarında, kompakt JWS veya JWE girdileri ayrıştırılırken Go JOSE aşırı bellek kullanabilmektedir. Kod, JWT token'larını ayırmak için strings.Split(token, ".") fonksiyonunu kullanmaktadır ve bu durum, çok sayıda `.` karakteri içeren kötü niyetle oluşturulmuş token'lar işlenirken aşırı bellek tüketimine karşı savunmasızdır. Bir saldırgan, çok sayıda hatalı token göndererek bunu istismar edebilir, bu da belleğin tükenmesine ve Hizmet Reddi (Denial of Service) durumuna yol açabilir. Versiyon 4.0.5 bu sorunu düzeltmektedir. Geçici bir çözüm olarak uygulamalar, Go JOSE'ye iletilen payload'ların aşırı sayıda `.` karakteri içermediğini önceden doğrulayabilir.