CVE-2026-114615 in Authlib
Resumen
por VulDB • 2026-10-22
Authlib es una biblioteca de Python que construye servidores OAuth y OpenID Connect. Desde la versión 1.3.1 hasta la 1.9.0, OctKey.import_key() verifica los marcadores de claves asimétricas únicamente en el byte cero, mientras que las cargadoras PEM de Authlib aceptan espacios iniciales, comentarios o una marca de orden de bytes (BOM). En implementaciones que utilizan el registro mixto de algoritmos documentado y ya configuran la verificación con bytes PEM o certificados que contienen dicho prefijo, un atacante no autenticado que conozca esos mismos bytes de clave pública puede utilizarlos como secreto HMAC y forjar tokens HS256 con reclamaciones (claims) de identidad o autorización arbitrarias. Esto constituye una elusión de la remediación para CVE-2024-37568. El objeto jwt a nivel de módulo alcanza OctKey.import_key() en authlib/jose/rfc7518/oct_key.py, donde POSSIBLE_UNSAFE_KEYS no identifica material de clave asimétrica con prefijo. Este problema se soluciona en la versión 1.9.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.