CVE-2026-114615 in Authlib
الملخص
بحسب VulDB • 22/10/2026
Authlib هي مكتبة Python تُستخدم لبناء خوادم OAuth و OpenID Connect. من الإصدار 1.3.1 حتى 1.9.0، تقوم الدالة `OctKey.import_key()` بفحص علامات المفاتيح غير المتماثلة (asymmetric-key markers) فقط عند البايت الأول (byte zero)، بينما تقبل محمّلات PEM الخاصة بـ Authlib المسافات البيضاء الرائدة، أو التعليقات، أو علامة ترتيب البايات (BOM). في البيئات التي تستخدم سجل الخوارزميات المختلط الموثّق وتقوم بالفعل بتكوين التحقق باستخدام بايتات PEM أو شهادات تحتوي على مثل هذا السبقية، يمكن لمهاجم غير مُصادق عليه يعرف نفس بايتات المفتاح العام استخدامها كسر HMAC وإنشاء رموز HS256 مزورة مع مطالبات هوية أو تفويض تعسفية. يُعد هذا تجاوزاً لإجراء التصحيح الخاص بـ CVE-2024-37568. يصل الكائن `jwt` على مستوى الوحدة النمطية إلى `OctKey.import_key()` في الملف `authlib/jose/rfc7518/oct_key.py`، حيث يفشل المتغير `POSSIBLE_UNSAFE_KEYS` في تحديد مواد المفاتيح غير المتماثلة ذات السبقية. تم إصلاح هذه المشكلة في الإصدار 1.9.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.