CVE-2026-92091
Publiée le 2026-09-16 · Dernière modification le 2026-09-16
Les applications utilisant la bibliothèque `jwcrypto` sont vulnérables à une attaque par déni de service si elles permettent aux utilisateurs de télécharger leurs propres clés publiques. Un attaquant distant non authentifié peut faire planter ou geler le serveur en fournissant une clé spécialement conçue contenant une liste d'opérations surdimensionnée, ce qui force le processeur à travailler de manière excessive. Bien que cela soit accessible via le réseau, cela nécessite que l'application cible expose spécifiquement une API d'importation de clés (comme celles utilisées dans OIDC ou ACME).
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A flaw was found in jwcrypto. The JWK.import_key() function validates the key_ops JWK member for duplicate values using an algorithm with O(n^2) time complexity, and the length of key_ops is not bounded. A remote, unauthenticated attacker can supply a JWK with a large key_ops array to an application that passes attacker-controlled key material to a public key-import API (reachable via ECDH-ES key agreement, OIDC dynamic client registration, DPoP, or ACME account key registration, among others) to consume excessive CPU time, resulting in a denial of service.