CVE-2026-62995
Açıklama
joserfc, çeşitli JSON Object Signing and Encryption (JOSE) standartlarının bir uygulamasını sağlayan bir Python kütüphanesidir. 1.7.1 ve önceki sürümlerde joserfc, JOSE spesifikasyonlarına uygun olmayan, sonunda dolgu (==) bulunan JWT'leri kabul eder. Bu durum, joserfc tarafından tüketildiğinde JWT'lerin değiştirilebilir (malleable) olmasına yol açar. Uygulamaya bağlı olarak bu bir sorun olabilir veya olmayabilir. Bu durum, token'ların deny listesi veya token hash'lerinin deny listesi olarak uygulandığında token iptalinin veya anti-replay korumasının atlatılmasına yol açabilir. ECDSA JWS'lerin, ECDSA imzalarının değiştirilebilirliği nedeniyle her zaman değiştirilebilir olduğunu unutmayın (aşağıdaki koddaki ilk test durumu). Bu durum, JWT'lerin değiştirilemez olduğunu varsayan bir şemayı kırılgan hale getirir. Ancak diğer imza (veya MAC) şemaları için token'ın değiştirilemez olduğunu varsaymak anlamlı olabilir. Bu sorun 1.7.2 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| authlib joserfc | < 1.7.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.