Veille sécuritéBackend & données
P4Moyenne
Une erreur de désérialisation JWS compact provoque une allocation de mémoire proportionnelle au jeton avant que les limites de taille soient appliquées. Les requêtes peuvent épuiser la mémoire du processus et entraîner un déni de service; mettre à jour joserfc vers la version 1.7.6.
Python
IdentifiantCVE-2026-119284
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif1.7.6
Source : GHSA-9pg5-8c7x-5hfx — joserfc
Analyse technique
deserialize_compact() appelle bytes.split() avant d’appliquer les limites de taille, ce qui copie les segments contrôlés par l’attaquant.
Impact, versions et correctif
Événement datéL’avis GitHub concernant cette vulnérabilité a été publié le 2026-10-30; il précise le mécanisme et le correctif. La modification NVD du même jour est associée à cet avis.
ImpactDéni de service par épuisement de mémoire.
Versions affectéesjoserfc < 1.7.6
Version corrigée1.7.6
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.9
EPSS0,19% · percentile 8,9%
Publication2026-10-30T14:54:25Z
Mise à jour2026-10-30T14:54:26Z
Action recommandée
Mettre à jour joserfc vers 1.7.6 ou une version ultérieure.
Sources
Priorisation DFS : P4 · 2 source(s).