joserfc tiene una Posible Vulnerabilidad de Consumo Incontrolado de Recursos Desencadenada por el Registro de Cargas Útiles de Tokens JWT Arbitrariamente Grandes

Un atacante puede explotar esta vulnerabilidad enviando tokens JWT de tamaño excesivo en las cabeceras de las solicitudes HTTP. Si la aplicación utiliza joserfc para decodificar estos tokens y los mensajes de error no están adecuadamente sanitizados, la información del token (incluyendo potencialmente datos sensibles como nombres de usuario, roles y permisos) se incluirá en los logs. Esto puede permitir a un atacante obtener información confidencial sobre la aplicación y sus usuarios. Además, el registro de tokens JWT de gran tamaño puede consumir recursos del sistema y provocar una denegación de servicio. La falta de una validación adecuada del tamaño del token antes de su procesamiento es la causa raíz de esta vulnerabilidad, similar a problemas de inyección de logs observados en otras bibliotecas.

Applications using joserfc for JWT handling, particularly those deployed behind web servers with inadequate input validation or those that log JWT data without proper sanitization, are at significant risk. Shared hosting environments where server configurations are less controllable are also particularly vulnerable.

• python / server:

  grep -r 'joserfc.jwt.decode' /path/to/your/python/project/
  journalctl -u your_app_name | grep 'ExceededSizeError'

• generic web:

  curl -I https://your-app.com/api/endpoint | grep 'Authorization:'

1. 2025-11-18Disclosure

   disclosure

1. Reservado2025-11-13
2. Publicada2025-11-18
3. Modificada2026-02-04
4. EPSS actualizado2026-03-23

La mitigación principal es actualizar la biblioteca joserfc a la versión 1.3.5 o superior, que corrige esta vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda implementar validación del tamaño del token JWT antes de su decodificación. Esto puede hacerse en el código de la aplicación, verificando la longitud del token antes de pasarlo a la función decode(). Además, es crucial revisar la configuración de los sistemas de logging para evitar el registro de datos sensibles, como tokens JWT completos. Implementar reglas en un Web Application Firewall (WAF) para bloquear solicitudes con tokens JWT de tamaño inusualmente grande también puede ser una medida preventiva. Después de la actualización, confirme que la vulnerabilidad ha sido resuelta verificando que los logs no contengan información sensible del token JWT.