CVE-2026-114615 in Authlib
요약
\~에 의해 VulDB • 2026. 10. 23.
Authlib은 OAuth 및 OpenID Connect 서버를 구축하는 Python 라이브러리입니다. 버전 1.3.1부터 1.9.0까지 OctKey.import_key()는 비대칭 키 마커를 바이트 0에서만 확인하며, Authlib의 PEM 로더는 선행 공백, 주석 또는 바이트 순서 표시(BOM)를 허용합니다. 문서화된 혼합 알고리즘 레지스트리를 사용하고 이미 PEM 또는 이러한 접두사를 포함한 인증서 바이트로 검증을 구성한 배포 환경에서, 해당 공개 키 바이트를 아는 비인증 공격자는 이를 HMAC 비밀값으로 사용하여 임의의 신원 또는 권한 클레임이 포함된 HS256 토큰을 위조할 수 있습니다. 이는 CVE-2024-37568에 대한 완화 조치 우회입니다. 모듈 수준의 jwt 객체는 authlib/jose/rfc7518/oct_key.py에서 OctKey.import_key()에 도달하며, 여기서 POSSIBLE_UNSAFE_KEYS는 접두사가 있는 비대칭 키 자료를 식별하지 못합니다. 이 문제는 버전 1.9.0에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.