CVE-2026-114620

Authlib, OAuth və OpenID Connect serverləri qurmaq üçün istifadə olunan bir Python kitabxanasıdır. Versiya 1.9.0-dan əvvəl, Authlib-in RFC 9101 JWTAuthenticationRequest komponenti, təyinat və ya qeydiyyat siyasətini tətbiq etməzdən əvvəl autentifikasiya olunmamış və klient tərəfindən idarə olunan request_uri parametrini mücərrəd get_request_object() hook-una ötürür; hook-un özü heç bir şəbəkə sorğusu yerinə yetirmir, lakin sənədlərdə məhdudiyyətsiz HTTP fetch nümayiş etdirilir. İnteqrasiya edən tərəfin həmin hook-u məhdudiyyətsiz çıxan fetch kimi tətbiq etdiyi sistemlərdə, etibarlı ictimai klient identifikatorunu bilən uzaq hücumçu avtorizasiya serverindən daxili, link-local və ya digər nəzərdə tutulmayan URL-lərə sorğu göndərə bilər və fərqli xəta cavabları və zamanlama vasitəsilə fetch nəticələrini ayıra bilər. Xüsusi hook-da artıq təhlükəsiz ağ siyahı (allowlist), təyinat nəzarətləri və əldəetmə limitləri tətbiq edilmiş sistemlər bu problemdən təsirlənmir. authlib/oauth2/rfc9101/authorization_server.py faylındakı JWTAuthenticationRequest implementasiyası, tətbiq tərəfindən təsdiqlənmiş əldəetmə siyasəti təyinatı qəbul etməzdən əvvəl request_uri parametrini get_request_object()-ə yönləndirir. Bu problem 1.9.0 versiyasında düzəldilmişdir.