PT-2026-121662
CVE-2026-114615
·
تاريخ النشر
2026-10-22
·
تاريخ التحديث
2026-11-02
الوصف من
CVSS 3.1
9.1
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Authlib الإصدارات من 1.3.1 إلى 1.8.9
الوصف
توجد مشكلة في دالة
OctKey.import key() ضمن authlib/jose/rfc7518/oct key.py حيث يتم التحقق من علامات المفاتيح غير المتماثلة في البايت صفر فقط. نظرًا لأن محملات PEM تقبل المسافات البيضاء الرائدة أو التعليقات أو علامة ترتيب البايتات، فإن فحص POSSIBLE UNSAFE KEYS يفشل في تحديد مادة المفتاح غير المتماثل المسبوقة. في عمليات النشر التي تستخدم سجل خوارزميات مختلطًا مهيأً ببايتات PEM أو شهادات تحتوي على هذه البادئات، يمكن لمهاجم غير مصرح له يعرف بايتات المفتاح العام هذه استخدامها كسر HMAC لتزوير رموز HS256 بمطالبات هوية أو تفويض تعسفية.التوصيات
التحديث إلى الإصدار 1.9.0.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾