UAA : risque de déni de service par désérialisation répétée de JWKS

Veille sécuritéBackend & données

P4Moyenne

UAA pouvait retraiter intégralement des données JWKS mises en cache à la suite de tentatives d’authentification invalides avec private_key_jwt. Un attaquant disposant des prérequis décrits — accès en écriture aux clients ou point de terminaison compromis — pouvait déclencher une consommation CPU élevée et un épuisement potentiel du tas Java; la mise à jour NVD dans la période est retenue comme changement substantiel.

IdentifiantCVE-2026-59396

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-59396

Analyse technique

Le traitement répété implique la désérialisation complète des données JWKS mises en cache pendant l’authentification private_key_jwt. Les versions affectées et la version corrective ne sont pas précisées dans les données fournies.

Impact, versions et correctif

Événement datéLa fiche NVD a été substantiellement mise à jour le 2026-10-30T20:17:10.440Z; la publication et la mise à jour sont toutes deux dans la période.

ImpactDéni de service potentiel par consommation excessive de CPU ou épuisement du tas Java.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.9

EPSS0,29% · percentile 21,2%

Publication2026-10-30T09:17:15.197Z

Mise à jour2026-10-30T20:17:10.440Z

Action recommandée

Consulter l’avis du projet UAA et appliquer son correctif dès qu’il est disponible; limiter l’accès en écriture aux clients et sécuriser les endpoints JWKS.

Sources

NVD — CVE-2026-59396

Priorisation DFS : P4 · 1 source(s).