CVE-2026-28498 in Authlib
Sumário
de VulDB • 01/06/2026
Authlib é uma biblioteca Python que constrói servidores OAuth e OpenID Connect. Antes da versão 1.6.9, foi identificada uma vulnerabilidade em nível de biblioteca na biblioteca Python Authlib relativa à validação de ID Tokens do OpenID Connect (OIDC). Especificamente, a lógica interna de verificação de hash (_verify_hash), responsável por validar as claims at_hash (Access Token Hash) e c_hash (Authorization Code Hash), apresenta um comportamento fail-open ao encontrar um algoritmo criptográfico não suportado ou desconhecido. Esta falha permite que um atacante contorne as proteções obrigatórias de integridade, fornecendo um ID Token forjado com um parâmetro de cabeçalho alg deliberadamente não reconhecido. A biblioteca intercepta o estado não suportado e retorna silenciosamente True (validação aprovada), violando inerentemente os princípios fundamentais de design criptográfico e as especificações diretas do OIDC. Esta questão foi corrigida na versão 1.6.9.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.