Podatności Authlib
3 znanych podatności CVE w Authlib, przetłumaczonych i ocenionych.
- CVE-2026-27962Krytyczne
Podatność w bibliotece Authlib (wersje przed 1.6.9) umożliwia atakującemu wstrzyknięcie klucza JWK do nagłówka JWT. Pozwala to na podrobienie dowolnego tokena JWT, który przechodzi weryfikację podpisu, ponieważ biblioteka używa klucza dostarczonego przez atakującego zamiast zaufanego klucza serwera.
- CVE-2026-28802Krytyczne
Biblioteka Authlib w wersjach od 1.6.5 do 1.6.6 nieprawidłowo przepuszczała złośliwe tokeny JWT z algorytmem 'none' i pustym podpisem, co omijało weryfikację podpisu. Problem został naprawiony w wersji 1.6.7.
- CVE-2026-28498Wysokie
W bibliotece Authlib (wersje przed 1.6.9) wykryto podatność w walidacji tokenów ID protokołu OpenID Connect. Funkcja _verify_hash błędnie akceptuje nieobsługiwane algorytmy kryptograficzne, zwracając True zamiast odrzucić token. Umożliwia to atakującemu ominięcie integralności tokena poprzez dostarczenie sfałszowanego tokena z nieznanym algorytmem.