CVE-2020-26244 in Python oic
요약
\~에 의해 VulDB • 2026. 06. 03.
Python oic는 Python 기반의 OpenID Connect 구현체입니다. 버전 1.2.1 미만의 Python oic에서는 해당 라이브러리를 사용하는 클라이언트 구현체에 영향을 미치는 여러 관련 암호화 문제가 존재합니다. 문제점은 다음과 같습니다: 1) IdToken 서명 알고리즘이 자동으로 확인되지 않으며, 예상되는 알고리즘을 kwarg로 전달한 경우에만 확인됩니다. 2) 모든 흐름에서 JWA `none` 알고리즘이 허용되었습니다. 3) oic.consumer.Consumer.parse_authz는 검증되지 않은(IdToken)을 반환합니다. 토큰 검증을 구현자의 재량에 맡겼습니다. 4) iat 클레임의 무결성(즉, 미래 시점일 수 있음)이 확인되지 않았습니다. 이러한 문제는 버전 1.2.1에서 패치되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.