CVE-2026-114616
Publiée le 2026-10-22 · Dernière modification le 2026-10-23
Les versions d'Authlib antérieures à 1.9.1 sont concernées, y compris celles utilisées pour construire des serveurs OAuth et OpenID Connect. La faille provient du fait que les fonctions de signature et de vérification de la bibliothèque acceptent des clés d'une longueur nulle. Si le système de gestion des secrets de votre application renvoie une chaîne vide ou des octets vides au lieu d'une clé valide, la bibliothèque procède tout de même à l'opération cryptographique.
Un attaquant distant non authentifié peut utiliser cela pour forger des jetons valides avec des revendications arbitraires, compromettant ainsi la confidentialité et l'intégrité de vos sessions utilisateur. Bien que l'impact soit élevé, cette attaque est difficile à réaliser car l'attaquant doit d'abord trouver un moyen de déclencher la recherche d'un secret vide dans votre configuration spécifique. Aucune interaction de l'utilisateur n'est requise, mais l'attaque repose sur cette faiblesse environnementale spécifique.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Authlib is a Python library which builds OAuth and OpenID Connect servers. Prior to 1.9.1, Authlib's OctKey.import_key() and HMAC signing and verification path accept zero-length key material. If an application's secret lookup can return an empty string or empty bytes, a remote attacker can compute the deterministic HS256, HS384, or HS512 signature for arbitrary token claims and have Authlib treat the token as authentic. This issue is fixed in version 1.9.1.