CVE-2026-28498 in Authlib
요약
\~에 의해 VulDB • 2026. 05. 26.
Authlib은 OAuth 및 OpenID Connect 서버를 구축하는 Python 라이브러리입니다. 버전 1.6.9 이전의 Authlib Python 라이브러리에서는 OpenID Connect (OIDC) ID 토큰의 검증과 관련하여 라이브러리 수준의 취약점이 확인되었습니다. 구체적으로, at_hash (Access Token Hash) 및 c_hash (Authorization Code Hash) 클레임을 검증하는 내부 해시 검증 로직(_verify_hash)은 지원되지 않거나 알려지지 않은 암호화 알고리즘을 처리할 때 fail-open 동작을 보입니다. 이 결함으로 인해 공격자는 의도적으로 인식되지 않는 alg 헤더 파라미터를 포함하는 위조된 ID 토큰을 제공하여 필수 무결성 보호 장치를 우회할 수 있습니다. 라이브러리는 지원되지 않는 상태를 가로채고 silently True(검증 통과)를 반환하므로, 근본적인 암호화 설계 원칙과 OIDC 사양을 직접적으로 위반합니다. 이 문제는 버전 1.6.9에서 패치되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.