CVE-2026-114618
Açıklama
Authlib, OAuth ve OpenID Connect sunucuları oluşturan bir Python kütüphanesidir. 1.9.0 sürümünden önce, varsayılan RFC 7523 JWTBearerGrant.get_audiences() boş bir liste döndürmekte, bu da JWTBearerGrant.verify_claims() fonksiyonunun mevcut yetkilendirme sunucusuyla eşleşme şartı aramaksızın yalnızca bir aud talebinin bulunmasını gerektirmesine neden olmaktadır. Başka bir hizmet için geçerli bir kanıta sahip olan bir saldırgan, imzalama anahtarını paylaşan ve varsayılan grant yapısını kullanan bir sunucuya bu kanıtı sunarak güven sınırı ötesinde bir erişim belirteci elde edebilir. get_audiences() fonksiyonunu sunucunun geçerli hedef kimlik tanımlayıcılarıyla geçersiz kılan uygulamalar etkilenmemektedir. Bu sorun 1.9.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- authlib1.9.0 ya da sonraki bir sürüm
- authlib authlib1.9.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| authlibPyPI | v < 1.9.0 | 1.9.0 |
| authlib authlib | v < 1.9.0 | 1.9.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.