PT-2026-23089
CVE-2026-28802
·
تاريخ النشر
2026-03-04
·
تاريخ التحديث
2026-09-29
الوصف من
CVSS 2.0
10
حرجةالمقاييسAV:N/AC:L/Au:N/C:C/I:C/A:C
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Authlib من 1.6.5 إلى 1.6.7
الوصف
كان هناك عيب في عملية التحقق من التوقيع في Authlib، وهي مكتبة Python لإنشاء خوادم OAuth و OpenID Connect. وعلى وجه التحديد، كانت الاختبارات التي تتضمن JWT ضارًا مع ”alg: none“ وتوقيعًا فارغًا تجتاز عملية التحقق بشكل غير صحيح دون أي تغييرات في الكود، في حين كان من المتوقع حدوث فشل. وقد ظهرت هذه المشكلة في عملية التزام (commit) أدت إلى تغيير منطق التحقق من التوقيع. قد يتيح استغلال هذه المشكلة للمهاجمين تجاوز المصادقة، أو تصعيد الامتيازات، أو الحصول على وصول غير مصرح به، أو تعديل بيانات التطبيق عن طريق إرسال توقيعات JWT مزورة. تمت معالجة هذه المشكلة في الإصدار 1.6.7.
التوصيات
يجب تحديث إصدارات Authlib من 1.6.5 إلى 1.6.7 إلى الإصدار 1.6.7 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾