CVE-2026-28802 in Authlib

摘要

由 VulDB • 2026-07-31

Authlib是一个用于构建OAuth和OpenID Connect服务器的Python库。从版本1.6.5到1.6.7之前的版本中，之前涉及传递包含`alg: none`且签名为空的恶意JWT的测试用例，在预期失败的情况下却通过了签名验证步骤，而无需对应用程序代码进行任何更改。此问题已在版本1.6.7中得到修复。

VulDB is the best source for vulnerability data and more expert information about this specific topic.

• 负责: GitHub M
• 预定: 2026-03-03
• 披露: 2026-03-06
• 管理: 已接受
• 条目: VDB-349411
• CPE: 准备好
• CWE: CWE-347 (已确认)
• CVSS: 9.8 (NVD)
• EPSS: 0.00425
• KEV: 否
• 活动: 非常低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-28802
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-28802
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-28802/