CVE-2026-96760
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Biblioteka Authlib w wersji v1.7.2 i wcześniejszych zawiera podatność polegającą na obejściu weryfikacji podpisu. Metoda JsonWebSignature.deserialize_json() akceptuje obiekt JWS w formacie JSON Serialization i zwraca ładunek jako pomyślnie zweryfikowany bez sprawdzania podpisu i bez wymagania klucza kryptograficznego.
Ocena ryzyka
Atakujący może sfałszować tokeny JWS, które zostaną uznane za ważne, co prowadzi do obejścia uwierzytelniania i nieautoryzowanego dostępu. Dotyczy to aplikacji używających Authlib do weryfikacji tokenów.
Rekomendacja
Zaktualizuj Authlib do wersji nowszej niż v1.7.2, która naprawia tę podatność. Jeśli aktualizacja nie jest możliwa, unikaj używania metody deserialize_json() do weryfikacji podpisów.
Inne podatności w Authlib
Zobacz wszystkie- CVE-2026-27962Krytyczne
Podatność w bibliotece Authlib (wersje przed 1.6.9) umożliwia atakującemu wstrzyknięcie klucza JWK do nagłówka JWT. Pozwala to na podrobienie dowolnego tokena JWT, który przechodzi weryfikację podpisu, ponieważ biblioteka używa klucza dostarczonego przez atakującego zamiast zaufanego klucza serwera.
- CVE-2026-28802Krytyczne
Biblioteka Authlib w wersjach od 1.6.5 do 1.6.6 nieprawidłowo przepuszczała złośliwe tokeny JWT z algorytmem 'none' i pustym podpisem, co omijało weryfikację podpisu. Problem został naprawiony w wersji 1.6.7.
- CVE-2026-28498Wysokie
W bibliotece Authlib (wersje przed 1.6.9) wykryto podatność w walidacji tokenów ID protokołu OpenID Connect. Funkcja _verify_hash błędnie akceptuje nieobsługiwane algorytmy kryptograficzne, zwracając True zamiast odrzucić token. Umożliwia to atakującemu ominięcie integralności tokena poprzez dostarczenie sfałszowanego tokena z nieznanym algorytmem.
Oryginalny opis (angielski, źródło NVD)
Authlib (v1.7.2 and below) contains a signature verification bypass vulnerability. The JsonWebSignature.deserialize_json() method accepts a JSON Serialization JWS object and returns the payload as successfully verified without checking for a signature and without requiring a cryptographic key.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS