There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - joserfc is a Python library that provides an implementation of several JSON Object Signing and Encryption
    (JOSE) standards. In versions from 1.3.3 to before 1.3.5 and from 1.4.0 to before 1.4.2, the
    ExceededSizeError exception messages are embedded with non-decoded JWT token parts and may cause Python
    logging to record an arbitrarily large, forged JWT payload. In situations where a misconfigured — or
    entirely absent — production-grade web server sits in front of a Python web application, an attacker may
    be able to send arbitrarily large bearer tokens in the HTTP request headers. When this occurs, Python
    logging or diagnostic tools (e.g., Sentry) may end up processing extremely large log messages containing
    the full JWT header during the joserfc.jwt.decode() operation. The same behavior also appears when
    validating claims and signature payload sizes, as the library raises joserfc.errors.ExceededSizeError()
    with the full payload embedded in the exception message. Since the payload is already fully loaded into
    memory at this stage, the library cannot prevent or reject it. This issue has been patched in versions
    1.3.5 and 1.4.2. (CVE-2025-65015)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - joserfc 是一個 Python 程式庫，可提供數個 JSON 物件簽署和加密 (JOSE) 標準的實作。在從 1.3.3 到 1.3.5 之前的版本，以及從 1.4.0 到 1.4.2 之前的版本中，在未解碼的 JWT token 部分會內嵌 ExceededSizeError 例外訊息，這樣可能會造成 Python 日誌記錄任意的大型偽造 JWT 承載。在配置錯誤或完全缺失的生產級 Web 伺服器位於 Python Web 應用程式的情況下，攻擊者或許能夠在 HTTP 要求標頭中任意傳送大型 Bearer Token。發生此情況時，Python 日誌或診斷工具 (例如 Sentry) 在 joserfc.jwt.decode() 作業期間，最終可能會處理包含完整 JWT 標頭的極大型日誌訊息。驗證宣告和簽章承載大小時也會出現相同的行為，因為程式庫會引發 joserfc.errors.ExceededSizeError()，同時例外訊息中會內嵌完整承載。由於承載已在此階段完全載入記憶體，因此程式庫無法阻止或拒絕它。此問題已在 1.3.5、1.4.2 和 CVE-2025-65015 版本中修正。

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - joserfc 是一个 Python 库，可提供多种 JSON 对象签名和加密 (JOSE) 标准的实现。在版本 1.3.3 至 1.3.5 以及版本 1.4.0 至 1.4.2 中，ExceededSizeError 异常消息中嵌入了未解码的 JWT 令牌片段，这可能导致 Python 日志功能记录任意大型伪造的 JWT 负载。如果 Python Web 应用程序前端存在配置错误或完全不存在的生产级 Web 服务器，则攻击者将有可能通过 HTTP 请求标头发送任意大型不记名令牌。发生这种情况时，Python 日志功能或诊断工具 (例如 Sentry) 在 joserfc.jwt.decode() 操作期间，可能会处理包含完整 JWT 标头的极大日志消息。在验证声明和签名负载大小时也会出现同样的行为，因为该库会引发 joserfc.errors.ExceededSizeError()，并在异常消息中嵌入完整负载。由于负载已在此阶段完全加载到内存中，因此该库无法阻止或拒绝负载。已在版本 1.3.5 和 1.4.2 中修补此问题。(CVE-2025-65015)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - joserfc は、いくつかの JSON Object Signing and Encryption (JOSE) 標準の実装を提供する Python ライブラリです。1.3.3 から 1.3.5 より前、および 1.4.0 から 1.4.2 より前のバージョンでは、ExceededSizeError 例外メッセージにデコードされていない JWT トークン部分が埋め込まれており、Python ロギングで任意に大きく、偽造された JWT ペイロードを記録する可能性があります。構成が誤っている、またはまったく欠如している本番グレードの Web サーバーが Python Web アプリケーションの前にある状況では、攻撃者が任意の大きなベアラートークンを HTTP リクエストヘッダーで送信できることがあります。これが発生すると、Python ロギングまたは診断ツール (Sentry など) は、joserfc.jwt.decode() 操作中に完全な JWT ヘッダーを含む非常に大きなログメッセージの処理を終了する可能性があります。同じ動作は、クレームと署名のペイロードサイズを検証するときにも発生します。これは、ライブラリが、例外メッセージに埋め込まれた完全なペイロードで joserfc.errors.ExceededSizeError() を発生させるためです。ペイロードはこの段階ですでにメモリに完全にロードされているため、ライブラリはこれを防ぐことも拒否することもできません。この問題には、バージョン 1.3.5および 1.4.2でパッチが適用されています。(CVE-2025-65015)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - joserfc is a Python library that provides an implementation of several JSON Object Signing and Encryption     (JOSE) standards. In versions from 1.3.3 to before 1.3.5 and from 1.4.0 to before 1.4.2, the     ExceededSizeError exception messages are embedded with non-decoded JWT token parts and may cause Python     logging to record an arbitrarily large, forged JWT payload. In situations where a misconfigured  or     entirely absent  production-grade web server sits in front of a Python web application, an attacker may     be able to send arbitrarily large bearer tokens in the HTTP request headers. When this occurs, Python     logging or diagnostic tools (e.g., Sentry) may end up processing extremely large log messages containing     the full JWT header during the joserfc.jwt.decode() operation. The same behavior also appears when     validating claims and signature payload sizes, as the library raises joserfc.errors.ExceededSizeError()     with the full payload embedded in the exception message. Since the payload is already fully loaded into     memory at this stage, the library cannot prevent or reject it. This issue has been patched in versions     1.3.5 and 1.4.2. (CVE-2025-65015)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
436091	SCA: security update for joserfc (GHSA-frfh-8v73-gjg4)	Tenable Cloud Security	SCA Checks	11/18/2025	10/27/2026	critical
436091	SCA: security update for joserfc (GHSA-frfh-8v73-gjg4)	Tenable Self-Hosted Container Security	SCA Checks	11/18/2025	10/27/2026	critical
275773	Linux Distros 未修補的弱點：CVE-2025-65015	Nessus	Misc.	11/19/2025	10/30/2026	critical
275773	Linux Distros 未修补的漏洞：CVE-2025-65015	Nessus	Misc.	11/19/2025	10/30/2026	critical
275773	Linux Distros のパッチ未適用の脆弱性: CVE-2025-65015	Nessus	Misc.	11/19/2025	10/30/2026	critical
275773	Linux Distros Unpatched Vulnerability : CVE-2025-65015	Nessus	Misc.	11/19/2025	10/30/2026	critical

Detections

Analytics

Plugins Search

critical

critical

critical

critical

critical

critical