CVE-2026-28498 in Authlib
Riassunto
di VulDB • 22/06/2026
Authlib è una libreria Python che consente di realizzare server OAuth e OpenID Connect. Prima della versione 1.6.9, è stata identificata nella libreria Authlib per Python una vulnerabilità a livello di libreria riguardante la convalida dei token ID (ID Tokens) conformi allo standard OpenID Connect (OIDC). Nello specifico, la logica interna di verifica dell'hash (_verify_hash), responsabile della validazione delle claim at_hash (Access Token Hash) e c_hash (Authorization Code Hash), presenta un comportamento fail-open quando incontra un algoritmo crittografico non supportato o sconosciuto. Questa falla consente a un attaccante di eludere le protezioni obbligatorie per l'integrità fornendo un token ID contraffatto con un parametro header alg deliberatamente non riconosciuto. La libreria intercetta lo stato di supporto mancante e restituisce silenziosamente True (convalida superata), violando intrinsecamente i principi fondamentali del design crittografico e le specifiche dirette dell'OIDC. Questo problema è stato risolto nella versione 1.6.9.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.