joserfc: RFC7797 b64=false JWS bypassa limite de tamanho do payload
RFC7797 b64=false JWS payloads bypassam os limites de tamanho do JWSRegistry durante a desserialização.
O que mudou
RFC7797 b64=false JWS payloads bypassam os limites de tamanho do JWSRegistry durante a desserialização. Os caminhos normais de JWS rejeitam payloads grandes com ExceededSizeError, mas os caminhos de payload não codificado RFC7797 não realizam a mesma verificação, permitindo que payloads maiores que max_payload_length sejam aceitos.
Quem isso afeta
Aplicações que usam joserfc, aceitam valores JWS de baixa confiança e dependem do joserfc para rejeitar conteúdo de token superdimensionado durante a verificação.
O que fazer hoje
Aplique workarounds: rejeite entradas JWS serializadas superdimensionadas antes de passar para o joserfc, desabilite ou não permita tokens RFC7797 b64=false se não forem necessários, e imponha limites estritos de tamanho de requisição/cabeçalho/corpo na aplicação ou camada de proxy reverso.