远程主机上安装的 python-jwcrypto 版本低于 0.4.2-1。因此，它受到 ALAS2-2026-3968 公告中提及的一个漏洞影响。

    在 jwcrypto 中发现一个缺陷。JWK.import_key（） 函数使用时间复杂度为 O（n^2） 的算法验证 key_ops JWK 成员是否具有重复值，并且 key_ops 的长度不受限制。未经身份验证的远程攻击者可将攻击者控制的密钥材料传递到公钥导入 API（可通过 ECDH-ES 密钥协议、OIDC 动态客户端注册、DPoP 或 ACME 帐户密钥注册等方式访问）的应用程序提供具有大型 key_ops 数组的 JWK，从而消耗过量 CPU 时间，从而导致拒绝服务。（CVE-2026-92091）

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

因此，它受到 ALAS2023-2026-3158 公告中提及的一个漏洞影响。

    在 jwcrypto 中发现一个缺陷。JWK.import_key（） 函数使用时间复杂度为 O（n^2） 的算法验证 key_ops JWK 成员是否具有重复值，并且 key_ops 的长度不受限制。未经身份验证的远程攻击者可将攻击者控制的密钥材料传递到公钥导入 API（可通过 ECDH-ES 密钥协议、OIDC 动态客户端注册、DPoP 或 ACME 帐户密钥注册等方式访问）的应用程序提供具有大型 key_ops 数组的 JWK，从而消耗过量 CPU 时间，从而导致拒绝服务。（CVE-2026-92091）

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

因此，它會受到 ALAS2023-2026-3158 公告中提及的一個弱點影響。

    在 jwcrypto 中發現一個缺陷。JWK.import_key（） 函式會使用具有 O（n^2） 時間複雜度的演算法來驗證key_ops JWK 成員是否有重複值，而且key_ops的長度不受限制。未經驗證的遠端攻擊者可向應用程式提供具有大型 key_ops 陣列的 JWK，而應用程式會將攻擊者控制的金鑰資料傳遞至公開金鑰匯入 API （可透過 ECDH-ES 金鑰協議、OIDC 動態用戶端註冊、DPoP 或 ACME 帳戶金鑰註冊等方式存取），以消耗過多的 CPU 時間，進而造成拒絕服務。（CVE-2026-92091）

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 python-jwcrypto 版本比 0.4.2-1 舊。因此，它會受到 ALAS2-2026-3968 公告中提及的一個弱點影響。

    在 jwcrypto 中發現一個缺陷。JWK.import_key（） 函式會使用具有 O（n^2） 時間複雜度的演算法來驗證key_ops JWK 成員是否有重複值，而且key_ops的長度不受限制。未經驗證的遠端攻擊者可向應用程式提供具有大型 key_ops 陣列的 JWK，而應用程式會將攻擊者控制的金鑰資料傳遞至公開金鑰匯入 API （可透過 ECDH-ES 金鑰協議、OIDC 動態用戶端註冊、DPoP 或 ACME 帳戶金鑰註冊等方式存取），以消耗過多的 CPU 時間，進而造成拒絕服務。（CVE-2026-92091）

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

したがって、ALAS2023-2026-3158 のアドバイザリに記載されている脆弱性の影響を受けます。

    jwcrypto に欠陥が見つかりました。JWK.import_key() 関数は、O(n^2) 時間複雑度のアルゴリズムを用いて、key_ops JWK メンバーの重複値を検証し、key_opsの長さに制限はありません。認証されていないリモートの攻撃者が、大きなkey_opsアレイを持つJWKをアプリケーションに供給し、そのアプリケーションに攻撃者が制御するキーマテリアルを公開鍵インポートAPI(ECDH-ESキー契約、OIDCダイナミッククライアント登録、DPoPまたはACMEアカウントキー登録などを介して到達可能)に渡し、CPU時間を過剰に消費し、サービス拒否を引き起こす可能性があります。(CVE-2026-92091)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている python-jwcrypto のバージョンは、0.4.2-1 より前です。したがって、ALAS2-2026-3968 のアドバイザリに記載されている脆弱性の影響を受けます。

    jwcrypto に欠陥が見つかりました。JWK.import_key() 関数は、O(n^2) 時間複雑度のアルゴリズムを用いて、key_ops JWK メンバーの重複値を検証し、key_opsの長さに制限はありません。認証されていないリモートの攻撃者が、大きなkey_opsアレイを持つJWKをアプリケーションに供給し、そのアプリケーションに攻撃者が制御するキーマテリアルを公開鍵インポートAPI(ECDH-ESキー契約、OIDCダイナミッククライアント登録、DPoPまたはACMEアカウントキー登録などを介して到達可能)に渡し、CPU時間を過剰に消費し、サービス拒否を引き起こす可能性があります。(CVE-2026-92091)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - A flaw was found in jwcrypto. The JWK.import_key() function validates the key_ops JWK member for duplicate     values using an algorithm with O(n^2) time complexity, and the length of key_ops is not bounded. A remote,     unauthenticated attacker can supply a JWK with a large key_ops array to an application that passes     attacker-controlled key material to a public key-import API (reachable via ECDH-ES key agreement, OIDC     dynamic client registration, DPoP, or ACME account key registration, among others) to consume excessive     CPU time, resulting in a denial of service. (CVE-2026-92091)

Note that Nessus relies on the presence of the package as reported by the vendor.

The version of python-jwcrypto installed on the remote host is prior to 0.4.2-1. It is, therefore, affected by a vulnerability as referenced in the ALAS2-2026-3968 advisory.

    A flaw was found in jwcrypto. The JWK.import_key() function validates the key_ops JWK member for duplicate     values using an algorithm with O(n^2) time complexity, and the length of key_ops is not bounded. A remote,     unauthenticated attacker can supply a JWK with a large key_ops array to an application that passes     attacker-controlled key material to a public key-import API (reachable via ECDH-ES key agreement, OIDC     dynamic client registration, DPoP, or ACME account key registration, among others) to consume excessive     CPU time, resulting in a denial of service. (CVE-2026-92091)

Tenable has extracted the preceding description block directly from the tested product security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

It is, therefore, affected by a vulnerability as referenced in the ALAS2023-2026-3158 advisory.

    A flaw was found in jwcrypto. The JWK.import_key() function validates the key_ops JWK member for duplicate     values using an algorithm with O(n^2) time complexity, and the length of key_ops is not bounded. A remote,     unauthenticated attacker can supply a JWK with a large key_ops array to an application that passes     attacker-controlled key material to a public key-import API (reachable via ECDH-ES key agreement, OIDC     dynamic client registration, DPoP, or ACME account key registration, among others) to consume excessive     CPU time, resulting in a denial of service. (CVE-2026-92091)

Tenable has extracted the preceding description block directly from the tested product security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
365269	Amazon Linux 2：python-jwcrypto (ALAS-2026-3968)	Nessus	Amazon Linux Local Security Checks	10/12/2026	10/12/2026	medium
365257	Amazon Linux 2023：python3-jwcrypto （ALAS2023-2026-3158）	Nessus	Amazon Linux Local Security Checks	10/12/2026	10/12/2026	medium
365257	Amazon Linux 2023：python3-jwcrypto （ALAS2023-2026-3158）	Nessus	Amazon Linux Local Security Checks	10/12/2026	10/12/2026	medium
365269	Amazon Linux 2：python-jwcrypto (ALAS-2026-3968)	Nessus	Amazon Linux Local Security Checks	10/12/2026	10/12/2026	medium
365257	Amazon Linux 2023:python3-jwcrypto(ALAS2023-2026-3158)	Nessus	Amazon Linux Local Security Checks	10/12/2026	10/12/2026	medium
365269	Amazon Linux 2 : python-jwcrypto (ALAS-2026-3968)	Nessus	Amazon Linux Local Security Checks	10/12/2026	10/12/2026	medium
349301	Linux Distros Unpatched Vulnerability : CVE-2026-92091	Nessus	Misc.	9/23/2026	9/23/2026	medium
365269	Amazon Linux 2 : python-jwcrypto (ALAS-2026-3968)	Nessus	Amazon Linux Local Security Checks	10/12/2026	10/12/2026	medium
365257	Amazon Linux 2023 : python3-jwcrypto (ALAS2023-2026-3158)	Nessus	Amazon Linux Local Security Checks	10/12/2026	10/12/2026	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium

medium

medium

medium