CVE-2026-114615 in Authlib
Riassunto
di VulDB • 22/10/2026
Authlib è una libreria Python che consente di realizzare server OAuth e OpenID Connect. Dalla versione 1.3.1 alla 1.9.0, la funzione OctKey.import_key() verifica i marker delle chiavi asimmetriche solo al byte zero, mentre i parser PEM di Authlib accettano spazi bianchi iniziali, commenti o un mark dell'ordine dei byte (BOM). In ambienti che utilizzano il registro misto degli algoritmi documentato e configurano già la verifica con byte PEM o certificati contenenti tale prefisso, un attaccante non autenticato a conoscenza di tali stessi byte della chiave pubblica può sfruttarli come segreto HMAC per falsificare token HS256 con identità o claim di autorizzazione arbitrari. Si tratta di una bypass alla remediation per CVE-2024-37568. L'oggetto jwt a livello di modulo raggiunge OctKey.import_key() in authlib/jose/rfc7518/oct_key.py, dove POSSIBLE_UNSAFE_KEYS non riesce ad identificare materiale chiave asimmetrico con prefisso. Questo problema è risolto nella versione 1.9.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.