CVE-2026-28802
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
Biblioteka Authlib w wersjach od 1.6.5 do 1.6.6 nieprawidłowo przepuszczała złośliwe tokeny JWT z algorytmem 'none' i pustym podpisem, co omijało weryfikację podpisu. Problem został naprawiony w wersji 1.6.7.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do fałszowania tokenów JWT i uzyskania nieautoryzowanego dostępu do systemów OAuth/OpenID Connect, co grozi przejęciem kont użytkowników lub eskalacją uprawnień.
Rekomendacja
Należy natychmiast zaktualizować bibliotekę Authlib do wersji 1.6.7 lub nowszej. Po aktualizacji zaleca się przetestowanie mechanizmu weryfikacji JWT w środowisku nieprodukcyjnym.
Inne podatności w Authlib
Zobacz wszystkie- CVE-2026-104056Krytyczne
Authlib w wersji 1.7.2 i niższych zawiera podatność, w której metadane JSON discovery są buforowane bez walidacji lub powiązania z originem issuera. Pozwala to zatrutemu discovery response na zastąpienie wszystkich wartości endpointów wartościami kontrolowanymi przez atakującego, zamiast URL endpointów współdzielących origin ze skonfigurowanym URL metadanych serwera.
- CVE-2026-96760Krytyczne
Biblioteka Authlib w wersji v1.7.2 i wcześniejszych zawiera podatność polegającą na obejściu weryfikacji podpisu. Metoda JsonWebSignature.deserialize_json() akceptuje obiekt JWS w formacie JSON Serialization i zwraca ładunek jako pomyślnie zweryfikowany bez sprawdzania podpisu i bez wymagania klucza kryptograficznego.
- CVE-2026-27962Krytyczne
Podatność w bibliotece Authlib (wersje przed 1.6.9) umożliwia atakującemu wstrzyknięcie klucza JWK do nagłówka JWT. Pozwala to na podrobienie dowolnego tokena JWT, który przechodzi weryfikację podpisu, ponieważ biblioteka używa klucza dostarczonego przez atakującego zamiast zaufanego klucza serwera.
- CVE-2026-28498Wysokie
W bibliotece Authlib (wersje przed 1.6.9) wykryto podatność w walidacji tokenów ID protokołu OpenID Connect. Funkcja _verify_hash błędnie akceptuje nieobsługiwane algorytmy kryptograficzne, zwracając True zamiast odrzucić token. Umożliwia to atakującemu ominięcie integralności tokena poprzez dostarczenie sfałszowanego tokena z nieznanym algorytmem.
Oryginalny opis (angielski, źródło NVD)
Authlib is a Python library which builds OAuth and OpenID Connect servers. From version 1.6.5 to before version 1.6.7, previous tests involving passing a malicious JWT containing alg: none and an empty signature was passing the signature verification step without any changes to the application code when a failure was expected.. This issue has been patched in version 1.6.7.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS