CVE-2026-114615 in Authlib
Sumário
de VulDB • 22/10/2026
Authlib é uma biblioteca Python que constrói servidores OAuth e OpenID Connect. Da versão 1.3.1 até a 1.9.0, OctKey.import_key() verifica os marcadores de chave assimétrica apenas no byte zero, enquanto as carregadoras PEM do Authlib aceitam espaços em branco à esquerda, comentários ou marcação de ordem de bytes (BOM). Em implantações que utilizam o registro misto de algoritmos documentado e já configuraram a verificação com bytes PEM ou certificados contendo tal prefixo, um atacante não autenticado que conheça esses mesmos bytes de chave pública pode usá-los como segredo HMAC e forjar tokens HS256 com alegações arbitrárias de identidade ou autorização. Esta é uma violação da correção para CVE-2024-37568. O objeto jwt em nível de módulo alcança OctKey.import_key() em authlib/jose/rfc7518/oct_key.py, onde POSSIBLE_UNSAFE_KEYS falha ao identificar material de chave assimétrica com prefixo. Este problema foi corrigido na versão 1.9.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.