CVE-2026-114619
Açıklama
Authlib, OAuth ve OpenID Connect sunucuları oluşturan bir Python kütüphanesidir. 1.9.0 sürümünden önce, OpenIDImplicitGrant.validate_authorization_request(), üst hibe izin verilen kapsamları request.scope içerisine filtreledikten sonra istemci tarafından kontrol edilen ham request.payload.scope değerini openid için kontrol eder. Bir ID belirteci yanıt türüne izin verilen ancak openid kapsamına izin verilmeyen kayıtlı bir istemci, isteğe openid ekleyebilir, kullanıcı onayını alabilir ve kullanıcının konusunu (subject) ve izin verilen profil taleplerini içeren imzalı bir ID belirteci alabilir. Yetkilendirme kodu akışı ve ID belirteci yanıtına izin verilen her istemci için openid'ye izin veren dağıtımlar etkilenmemektedir. authlib/oidc/core/grants/implicit.py dosyasında, OpenIDImplicitGrant.validate_authorization_request() filtrelenmiş request.scope yerine request.payload.scope değerini kontrol etmektedir. Bu sorun 1.9.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- authlib1.9.0 ya da sonraki bir sürüm
- authlib authlib1.9.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| authlibPyPI | v < 1.9.0 | 1.9.0 |
| authlib authlib | v < 1.9.0 | 1.9.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.