漏洞关键信息总结 1. 漏洞概述 CVE ID: CVE-2024-28102 (GHSA ID: GHSA-jfjm-76x2-c4q4, 截图右侧显示为 CVE-2026-30373) 漏洞名称: Weak mitigation of CVE-2024-28102:JWT bomb Attack in 'deserialize' function 严重程度: Moderate (CVSS v3 base metrics: 3.3 / 10) 描述: 在 v1.5.6 版本中, 函数存在弱点。该函数允许攻击者控制接收到的明文大小,而不验证解压后的输出大小。攻击者可以构造一个在250KB输入限制内解压成非常大数据(如1GB)的JWT,导致服务器内存耗尽(DoS)。 现状: 现有的补丁 (v1.5.6) 未能阻止此攻击,真正的修复是在版本 1.5.7 中完成的。 2. 影响范围 受影响版本: <= 1.5.6 修复版本: 1.5.7 (及更高版本) 3. 修复方案 根本原因: 漏洞代码位于 。原有的检查逻辑 仅验证了压缩后的数据大小,而没有验证解压后的明文大小。 修复逻辑: 需要验证解压后的数据大小,或者在解压前检查内存使用情况。 4. POC 代码 (Proof of Concept)**