joserfc में संभवतः अनियंत्रित संसाधन खपत भेद्यता है, जो बड़े JWT टोकन पेलोड लॉगिंग द्वारा ट्रिगर होती है

यह भेद्यता हमलावरों को संवेदनशील जानकारी उजागर करने की अनुमति देती है जो JWT टोकन में एन्कोड की गई है। हमलावर लॉग फ़ाइलों की निगरानी करके या लॉगिंग सिस्टम (जैसे Sentry) तक पहुँच प्राप्त करके टोकन के हिस्सों को पुनर्प्राप्त कर सकते हैं। पुनर्प्राप्त जानकारी का उपयोग तब एप्लिकेशन को प्रमाणित करने, संवेदनशील डेटा तक पहुँचने या अन्य दुर्भावनापूर्ण गतिविधियों को करने के लिए किया जा सकता है। विशेष रूप से, वेब सर्वर के सामने एक कमजोर कॉन्फ़िगरेशन या अनुपस्थित होने पर यह जोखिम बढ़ जाता है, जिससे हमलावर बड़े JWT टोकन को इंजेक्ट कर सकते हैं। इस भेद्यता का व्यापक प्रभाव हो सकता है, क्योंकि यह कई अनुप्रयोगों को प्रभावित कर सकता है जो joserfc लाइब्रेरी का उपयोग करते हैं।

Applications using joserfc for JWT handling, particularly those deployed behind web servers with inadequate input validation or those that log JWT data without proper sanitization, are at significant risk. Shared hosting environments where server configurations are less controllable are also particularly vulnerable.

• python / server:

  grep -r 'joserfc.jwt.decode' /path/to/your/python/project/
  journalctl -u your_app_name | grep 'ExceededSizeError'

• generic web:

  curl -I https://your-app.com/api/endpoint | grep 'Authorization:'

1. 2025-11-18Disclosure

   disclosure

1. आरक्षित2025-11-13
2. प्रकाशित2025-11-18
3. संशोधित2026-02-04
4. EPSS अद्यतन2026-03-23

CVE-2025-65015 के प्रभाव को कम करने के लिए, joserfc को तुरंत 1.3.5 या बाद के संस्करण में अपडेट करना महत्वपूर्ण है। यदि तत्काल अपडेट संभव नहीं है, तो एक अस्थायी समाधान के रूप में, लॉगिंग कॉन्फ़िगरेशन को संशोधित करके JWT टोकन के हिस्सों को लॉगिंग से बाहर रखा जा सकता है। इसके अतिरिक्त, वेब सर्वर को कॉन्फ़िगर किया जाना चाहिए ताकि यह सुनिश्चित किया जा सके कि यह बड़े JWT टोकन को संसाधित करने से पहले उन्हें मान्य करता है। WAF (वेब एप्लिकेशन फ़ायरवॉल) का उपयोग करके असामान्य रूप से बड़े JWT टोकन को ब्लॉक किया जा सकता है। लॉगिंग सिस्टम की सुरक्षा को मजबूत करना भी महत्वपूर्ण है ताकि अनाधिकृत पहुंच को रोका जा सके।