joserfc présente une vulnérabilité potentielle de consommation de ressources non contrôlée déclenchée par l'enregistrement de charges utiles JWT (JWT Token Payloads) arbitrairement volumineuses

L'impact de cette vulnérabilité est critique. Un attaquant peut exploiter cette faille en envoyant un token JWT excessivement grand, contenant un payload malveillant. Si l'application Python utilise des outils de logging ou de surveillance (comme Sentry) pour enregistrer les exceptions, le payload JWT complet, y compris le code malveillant, sera inclus dans les logs. L'attaquant peut alors accéder à ces logs et exécuter le code injecté, compromettant ainsi l'ensemble du système. Le risque est exacerbé si l'application est exposée via un serveur web sans validation de taille des tokens JWT, permettant l'envoi de tokens de taille arbitraire. Cette vulnérabilité rappelle les risques liés à l'inclusion non filtrée de données utilisateur dans les logs, un problème courant qui peut avoir des conséquences graves.

Applications using joserfc for JWT handling, particularly those deployed behind web servers with inadequate input validation or those that log JWT data without proper sanitization, are at significant risk. Shared hosting environments where server configurations are less controllable are also particularly vulnerable.

• python / server:

  grep -r 'joserfc.jwt.decode' /path/to/your/python/project/
  journalctl -u your_app_name | grep 'ExceededSizeError'

• generic web:

  curl -I https://your-app.com/api/endpoint | grep 'Authorization:'

1. 2025-11-18Disclosure

   disclosure

1. Réservé2025-11-13
2. Publiée2025-11-18
3. Modifiée2026-02-04
4. EPSS mis à jour2026-03-23

La mitigation principale consiste à mettre à jour la bibliothèque joserfc vers la version 1.3.5 ou supérieure, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, une solution temporaire consiste à implémenter une validation stricte de la taille des tokens JWT avant de les décoder. Cela peut être fait au niveau du serveur web (par exemple, en configurant Nginx ou Apache pour refuser les tokens de taille excessive) ou au niveau de l'application Python. Il est également recommandé de désactiver ou de configurer soigneusement les outils de logging et de surveillance pour éviter l'inclusion de données sensibles, comme les tokens JWT, dans les logs. Après la mise à jour, vérifiez que le décodage des JWT ne génère plus d'exceptions ExceededSizeError avec des payloads malformés.