CVE-2026-114618 in Authlib
Zusammenfassung
von VulDB • 22.10.2026
Authlib ist eine Python-Bibliothek zum Aufbau von OAuth- und OpenID Connect-Servern. Vor Version 1.9.0 gibt die Standardmethode `RFC 7523 JWTBearerGrant.get_audiences()` eine leere Liste zurück, wodurch `JWTBearerGrant.verify_claims()` lediglich verlangt, dass ein `aud`-Claim vorhanden ist, ohne ihn mit dem aktuellen Autorisierungsserver abzugleichen. Ein Angreifer, der über eine legitime Assertion für einen anderen Dienst verfügt, kann diese einem Server vorlegen, der den gleichen Signing-Key verwendet und das Standard-Grant nutzt, wodurch er Zugriffstoken über eine Vertrauensgrenze hinweg erhält. Implementierungen, die `get_audiences()` mit den gültigen Audience-Identifikatoren des Servers überschreiben, sind nicht betroffen. Dieses Problem wurde in Version 1.9.0 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.