CVE-2026-84185
ŚrednieCVSS 5.9Streszczenie
W bibliotece jwcrypto, używanej do implementacji standardów JOSE, występuje błąd polegający na tym, że podczas weryfikacji General JSON Serialization JWS z zestawem kluczy, biblioteka nieprawidłowo identyfikuje konkretny identyfikator klucza (kid) i może zaakceptować podpis wykonany dowolnym ważnym kluczem z zestawu. Pozwala to atakującemu posiadającemu ważny klucz na ominięcie kontroli autoryzacji w aplikacjach, które polegają na identyfikatorze klucza do rozróżniania dzierżawców lub użytkowników.
Ocena ryzyka
Atakujący z ważnym kluczem może uzyskać nieautoryzowany dostęp do zasobów innych użytkowników lub dzierżawców, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaleca się aktualizację biblioteki jwcrypto do wersji zawierającej poprawkę oraz przegląd aplikacji pod kątem zależności od identyfikatora klucza w procesie autoryzacji.
Inne podatności w jwcrypto
Zobacz wszystkie- CVE-2026-80179Średnie
Podatność w jwcrypto pozwala zdalnemu atakującemu na wysłanie specjalnie spreparowanego tokena JSON Web Encryption (JWE) zawierającego wiele separatorów kropek. Ten nieprawidłowy token może zmusić funkcję JWE.deserialize() do przydzielenia nadmiernej ilości pamięci, co prowadzi do błędu MemoryError. Problem skutkuje odmową usługi (DoS) dla usług przetwarzających niezaufane wartości JWE.
- CVE-2026-39373Średnie
JWCrypto przed wersją 1.5.7 nie sprawdza rozmiaru zdekompresowanych danych w tokenach JWE z kompresją ZIP. Atakujący może wysłać mały token (poniżej 250KB), który po dekompresji zajmuje około 100MB, powodując wyczerpanie pamięci serwera.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the jwcrypto library, which is used for implementing Javascript Object Signing and Encryption (JOSE) standards. The issue occurs when the library verifies a General JSON Serialization JWS using a set of keys. Due to a coding error, the library fails to correctly identify the specific key ID (kid) and may instead accept a signature made by any valid key in the set. This can allow an attacker with a valid key to bypass authorization checks in applications that rely on the key ID to identify specific tenants or users.