CVE-2026-114620
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Authlib to biblioteka Pythona, która buduje serwery OAuth i OpenID Connect. Przed wersją 1.9.0, RFC 9101 JWTAuthenticationRequest Authlib przekazuje nieuwierzytelniony, kontrolowany przez klienta parametr request_uri do abstrakcyjnego haka get_request_object() przed zastosowaniem zasady miejsca docelowego lub rejestracji; sam hak nie wykonuje żadnych żądań sieciowych, podczas gdy dokumentacja pokazuje nieograniczone pobieranie HTTP. We wdrożeniach, których integrator implementuje ten hak jako nieograniczone pobieranie wychodzące, osoba atakująca zdalnie, która zna prawidłowy publiczny identyfikator klienta, może wysłać do serwera autoryzacyjnego żądanie wewnętrznych, lokalnych łączy lub w inny sposób niezamierzonych adresów URL i może rozróżnić wyniki pobierania na podstawie różnych odpowiedzi na błędy i czasu. Nie ma to wpływu na wdrożenia, w których niestandardowy hak stosuje już bezpieczną listę dozwolonych, kontrole miejsc docelowych i limity pobierania. Implementacja JWTAuthenticationRequest w authlib/oauth2/rfc9101/authorization_server.py przekazuje request_uri do get_request_object(), zanim zatwierdzona przez aplikację zasada pobierania zaakceptuje miejsce docelowe. Ten problem został rozwiązany w wersji 1.9.0.
>_ Słabości (CWE)
>_ Referencje
- https://github.com/authlib/authlib/commit/6563f6f7a8c2f71d2f85ee7511d72a4fbae3acc0
- https://github.com/authlib/authlib/commit/891e3f10ae5989176211f8be35dcc7cd40aa92c6
- https://github.com/authlib/authlib/pull/949
- https://github.com/authlib/authlib/releases/tag/v1.9.0
- https://github.com/authlib/authlib/security/advisories/GHSA-x4rv-c3wx-4cr8
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org