CVE-2026-114614

Authlib, OAuth və OpenID Connect serverləri qurmaq üçün istifadə olunan bir Python kitabxanasıdır. 0.13 versiyasından 1.8.0 versiyasına qədər authlib.common.security.is_secure_transport() funksiyası loopback HTTP istisnaları üçün mətn prefiksi müqayisəsindən istifadə edir, buna görə də userinfo hissəsi loopback host ilə başlayan URL, təhlil edilmiş hostu xarici non-loopback sistem olsa belə, qəbul edilə bilər. OIDC RP-Initiated Logout qeydiyyatına, authorization-server metadata validasiyasına və ya digər çağırış nöqtələrinə URL təqdim etmək imkanı olan xarici tərəf TLS tələbini yan keçə və şifrələnməmiş yönləndirməyə və ya şifrələnməmiş son nöqtələrin qəbuluna səbəb ola bilər. Bu problem redirect URI-nin dəqiq uyğunluğunu yan keçmir və təkbaşına tokenlərin saxtalaşdırılmasına və ya istifadəçilərin autentifikasiyasına səbəb olmur. authlib/common/security.py faylındakı zəif authlib.common.security.is_secure_transport() implementasiyası, OIDC RP-Initiated Logout dinamik klient qeydiyyatı və digər istehlakçılar nəqliyyat təhlükəsizliyini tətbiq etməzdən əvvəl userinfo komponentini yanlış şərh edir. Bu problem 1.8.0 versiyasında düzəldilmişdir.