CVE-2026-102946

joserfc est une bibliothèque Python utilisée pour gérer les normes JOSE (JSON Object Signing and Encryption). Dans les versions antérieures à la 1.7.4, une faille existe dans la manière dont la bibliothèque traite les signatures de type « General JSON Serialization ». Si un utilisateur fournit une charge utile JWS avec un tableau de signatures vide, la boucle de vérification s'achève instantanément sans effectuer de contrôles, marquant ainsi incorrectement la charge utile comme authentique.

Un attaquant peut exploiter cette faille pour contourner l'authentification ou falsifier des données, compromettant ainsi la confidentialité et l'intégrité de l'application. Comme cette vulnérabilité ne nécessite aucun privilège particulier, aucune interaction de l'utilisateur ni aucune clé secrète, elle peut être déclenchée à distance via un réseau. Cela permet à une partie non autorisée de fournir des données arbitraires que le serveur considère comme fiables et vérifiées.