CVE-2026-114614

Authlib, OAuth ve OpenID Connect sunucuları oluşturan bir Python kütüphanesidir. 0.13 ile 1.8.0 versiyonları arasında, authlib.common.security.is_secure_transport() döngüsel (loopback) HTTP istisnaları için metinsel ön ek karşılaştırması kullanır; bu nedenle, userinfo kısmı bir loopback ana bilgisayarıyla başlayan bir URL, ayrıştırılmış ana bilgisayarı harici bir non-loopback sistem olsa bile kabul edilebilir. OIDC RP-Initiated Logout kaydına, authorization-server meta veri doğrulamasına veya başka bir çağrı noktasına URL sağlayabilen harici bir taraf, TLS zorunluluğu korumasını atlayabilir ve açık metin yönlendirmesine veya açık metin uç noktalarının kabul edilmesine neden olabilir. Bu sorun, yönlendirme URI'sinin tam eşleşmesini atlamaz ve tek başına token oluşturmaz veya kullanıcıları kimliklendirmez. authlib/common/security.py dosyasındaki hatalı authlib.common.security.is_secure_transport() uygulaması, OIDC RP-Initiated Logout dinamik istemci kaydı ve diğer tüketiciler taşıma güvenliğini zorunlu kılmadan önce userinfo bileşenini yanlış yorumlar. Bu sorun 1.8.0 versiyonunda düzeltilmiştir.