Veille sécuritéBackend & données
P3Élevée
Le parseur JWE General JSON de joserfc accepte un tableau recipients sans limite et effectue une opération de déchiffrement avec la clé privée pour chaque entrée. Un document contrôlé à distance peut ainsi entraîner une consommation CPU disproportionnée; mettre à jour joserfc vers 1.7.5.
Python
IdentifiantCVE-2026-119283
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif1.7.5
Source : GHSA-jpxq-7h8p-2q76 — joserfc
Analyse technique
decrypt_json() traite chaque élément de recipients et peut appeler un déchiffrement RSA avec la clé privée pour chacun.
Impact, versions et correctif
Événement datéL’avis GitHub a été publié le 2026-10-30 et documente la vulnérabilité ainsi que la version corrigée.
ImpactDéni de service par consommation excessive de CPU.
Versions affectéesjoserfc < 1.7.5
Version corrigée1.7.5
ContournementL’avis indique que verify_all_recipients=False ne réduit pas le coût CPU de la boucle de déchiffrement.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
EPSS0,23% · percentile 13,7%
Publication2026-10-30T14:54:20Z
Mise à jour2026-10-30T14:54:20Z
Action recommandée
Mettre à jour joserfc vers 1.7.5 ou une version ultérieure; limiter aussi la taille des requêtes au niveau applicatif.
Sources
Priorisation DFS : P3 · 2 source(s).