CVE-2026-114615

Nome do Software Vulnerável e Versões Afetadas Authlib versões 1.3.1 até 1.8.9

Descrição Existe um problema na função OctKey.import key() em authlib/jose/rfc7518/oct key.py, onde os marcadores de chave assimétrica são verificados apenas no byte zero. Como os carregadores PEM aceitam espaços em branco iniciais, comentários ou uma marca de ordem de bytes, a verificação POSSIBLE UNSAFE KEYS não consegue identificar material de chave assimétrica prefixado. Em implantações que utilizam um registro de algoritmos mistos configurado com bytes de PEM ou certificado contendo tais prefixos, um invasor não autenticado que conheça esses bytes de chave pública pode usá-los como um segredo HMAC para forjar tokens HS256 com reivindicações de identidade ou autorização arbitrárias.

Recomendações Atualizar para a versão 1.9.0.