CVE-2026-49852
Açıklama
joserfc, birkaç JSON Object Signing and Encryption (JOSE) standartlarının uygulamasını sağlayan bir Python kütüphanesidir. 1.6.8 sürümünden önce, çağırıcı tarafından sağlanan doğrulama anahtarı boş bir dize veya None olduğunda, joserfc.jwt.decode saldırgan tarafından sahte olarak oluşturulmuş HMAC imzalı token'ları kabul eder; çünkü src/joserfc/_rfc7518/jws_algs.py dosyasındaki HMACAlgorithm.sign ve HMACAlgorithm.verify fonksiyonları, OctKey.get_op_key(...) çıktısını hmac.new(...) fonksiyonuna iletir ve src/joserfc/_rfc7518/oct_key.py dosyasındaki OctKey.import_key, sıfır uzunluktaki girdileri reddetmeden 14 bayttan kısa anahtarlar için yalnızca bir SecurityWarning yayınlar. Bu sorun 1.6.8 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- joserfc1.6.8 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| joserfcPyPI | v < 1.6.8 | 1.6.8 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.