joserfcは、いくつかのJSON Object Signing and Encryption（JOSE）標準を実装したPythonライブラリです。バージョン1.3.3から1.3.5未満および1.4.0から1.4.2未満の期間では、ExceededSizeError例外メッセージに非デコードのJWTトークン部分が埋め込まれ、Pythonのログに恣意的に大きく偽造されたJWTペイロードが記録される可能性があります。誤設定されているか、または全く存在しない本番環境向けのウェブサーバーがPythonウェブアプリケーションの前にある場合、攻撃者はHTTPリクエストヘッダーに任意の大きさのベアラートークンを送信できる可能性があります。この場合、Pythonのログや診断ツール（例えばSentry）は、joserfc.jwt.decode()操作中に完全なJWTヘッダーを含む非常に大きなログメッセージを処理してしまうことがあります。同様の動作はクレームおよび署名ペイロードのサイズ検証時にも発生し、ライブラリは完全なペイロードを例外メッセージに埋め込んだ状態でjoserfc.errors.ExceededSizeError()を発生させます。この段階でペイロードはすでにメモリに完全にロードされているため、ライブラリはそれを防止または拒否することができません。この問題はバージョン1.3.5および1.4.2で修正されました。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。