joserfc possui uma Possível Vulnerabilidade de Consumo de Recursos Não Controlado Desencadeada pelo Registro de Payloads JWT Arbitrariamente Grandes

Um atacante pode explorar essa vulnerabilidade enviando tokens JWT excessivamente grandes para uma aplicação Python que utiliza a biblioteca joserfc. Se a aplicação estiver configurada para registrar essas exceções 'ExceededSizeError', o payload completo do token JWT, incluindo informações confidenciais como chaves secretas, dados do usuário e permissões, pode ser gravado nos logs. Esses logs podem ser acessados por atacantes que obtiveram acesso ao sistema de registro da aplicação, permitindo a obtenção de credenciais e a execução de ações não autorizadas. A gravidade é amplificada se os logs forem enviados para serviços de monitoramento externos, como Sentry, expondo os dados a terceiros. A ausência de validação de tamanho do token torna a exploração trivial.

Applications using joserfc for JWT handling, particularly those deployed behind web servers with inadequate input validation or those that log JWT data without proper sanitization, are at significant risk. Shared hosting environments where server configurations are less controllable are also particularly vulnerable.

• python / server:

  grep -r 'joserfc.jwt.decode' /path/to/your/python/project/
  journalctl -u your_app_name | grep 'ExceededSizeError'

• generic web:

  curl -I https://your-app.com/api/endpoint | grep 'Authorization:'

1. 2025-11-18Disclosure

   disclosure

1. Reservado2025-11-13
2. Publicada2025-11-18
3. Modificada2026-02-04
4. EPSS atualizado2026-03-23

A mitigação primária é atualizar a biblioteca joserfc para a versão 1.3.5 ou superior, que corrige a vulnerabilidade. Em ambientes onde a atualização imediata não é possível, implemente validação de tamanho do token JWT antes de processá-lo. Isso pode ser feito verificando o comprimento do token antes de chamar a função decode(). Além disso, configure o sistema de registro da aplicação para não registrar exceções detalhadas que possam conter informações sensíveis. Considere o uso de um Web Application Firewall (WAF) para bloquear solicitações com tokens JWT excessivamente grandes. A verificação da integridade do token após a decodificação também pode ajudar a detectar payloads maliciosos.