遠端主機上安裝的 python-jwcrypto 版本比 0.4.2-1 舊。因此，它會受到 ALAS2-2026-3254 公告中提及的一個弱點影響。

    JWCrypto 使用 python-cryptography 實作 JWK、JWS 和 JWE 規範。在此之前 1.5.7，未經認證的攻擊者可透過發送帶有 ZIP 壓縮的 JWE 標記來耗盡伺服器記憶體。現有的補丁 CVE-2024-28102 限制輸入標記大小為 250KB，但未驗證解壓縮後的輸出大小。未經認證的攻擊者可能會在記憶體受限系統中造成記憶體耗盡。低於 250KB 輸入限制的代幣可解壓縮至約 100MB。此弱點已在 1.5.7 中修正。(CVE-2026-39373)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Amazon Linux 2 ： python-jwcrypto， --advisory ALAS2-2026-3254 （ALAS-2026-3254）

medium Nessus Plugin ID 311204

版本 1.1