CVE-2026-114618

Nome do Software Vulnerável e Versões Afetadas Authlib versões anteriores a 1.9.0

Descrição A função padrão JWTBearerGrant.get audiences() retorna uma lista vazia, o que faz com que a JWTBearerGrant.verify claims() exija apenas que uma reivindicação aud exista, sem verificar se ela corresponde ao servidor de autorização atual. Isso permite que um invasor com uma asserção legítima para outro serviço a apresente a um servidor que compartilhe a mesma chave de assinatura e use a concessão padrão, obtendo um token de acesso através de um limite de confiança.

Recomendações Atualize para a versão 1.9.0. Substitua a função get audiences() pelos identificadores de audiência válidos do servidor.