CVE-2026-80179

ŚrednieCVSS 5.9

Opublikowano: 28/08/2026(UTC)Zaktualizowano: 28/08/2026(UTC)Przetłumaczono: 28/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 16 - wyżej niż 16% wszystkich znanych CVE

Streszczenie

Podatność w jwcrypto pozwala zdalnemu atakującemu na wysłanie specjalnie spreparowanego tokena JSON Web Encryption (JWE) zawierającego wiele separatorów kropek. Ten nieprawidłowy token może zmusić funkcję JWE.deserialize() do przydzielenia nadmiernej ilości pamięci, co prowadzi do błędu MemoryError. Problem skutkuje odmową usługi (DoS) dla usług przetwarzających niezaufane wartości JWE.

Ocena ryzyka

Atak może spowodować wyczerpanie pamięci i awarię usług, co prowadzi do niedostępności aplikacji korzystających z jwcrypto.

Rekomendacja

Zaleca się aktualizację jwcrypto do najnowszej wersji, która zawiera poprawkę ograniczającą alokację pamięci, oraz walidację tokenów JWE przed deserializacją.

Inne podatności w jwcrypto

CVE-2026-39373Średnie
JWCrypto przed wersją 1.5.7 nie sprawdza rozmiaru zdekompresowanych danych w tokenach JWE z kompresją ZIP. Atakujący może wysłać mały token (poniżej 250KB), który po dekompresji zajmuje około 100MB, powodując wyczerpanie pamięci serwera.

Oryginalny opis (angielski, źródło NVD)

A flaw was found in jwcrypto. A remote attacker can send a specially crafted JSON Web Encryption (JWE) token containing numerous period delimiters. This malformed token can force the JWE.deserialize() function to allocate excessive memory, leading to a MemoryError. This issue results in a denial of service (DoS) for services that process untrusted JWE values.