Ksanjeev284

Authlib هي مكتبة Python تُستخدم لبناء خوادم OAuth و OpenID Connect. تقبل الدالة `OctKey.import key()` ومسار توقيع وتحقق HMAC مواد مفاتيح ذات طول صفري. إذا أدت عملية البحث عن السر في التطبيق إلى إرجاع سلسلة نصية فارغة أو بايتات فارغة، يمكن للمهاجم عن بُعد حساب توقيعات HS256 أو HS384 أو HS512 حتمية لمطالبات توكن عشوائية، مما يجعل المكتبة تتعامل مع التوكن على أنه أصلي.

يقوم موزع Agent بإجراء عملية استنساخ عميق بناءً على JSON لخيارات المنشئ قبل توجيهها إلى مجموعات كل أصل. وبما أن JSON لا يمكنه تمثيل الدوال، فإن أي خيار `tls` يحتوي على استدعاء `checkServerIdentity` يتم إسقاطه بصمت. يؤدي ذلك إلى قبول طرف TLS إذا اجتاز فحوصات اسم المضيف والسلسلة الافتراضية، حتى لو تم كتابة `checkServerIdentity` مخصص لرفضه. يؤثر هذا الأمر على المسارات الافتراضية التي تستخدمها `request` و `fetch` و `setGlobalDispatcher` بالإضافة إلى المسارات المباشرة والمسارات التي لا تستخدم بروكسي في `EnvHttpProxyAgent`. التطبيقات التي تمرر خيارات `tls` ذات قيم دالية لمهام مثل تثبيت الشهادة أو المفتاح العام هي فقط المعرضة للخطر.