Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-287
  • CWE-1188

CVE-2026-114618

Authlib'de varsayılan JWT taşıyıcı yetki akışı yanlış hedef kitle için onaylar kabul ediyor

authlib

Orta 6,8 CVSS 3.1
Yayımlandı
Güncellendi
23 Eki 2026
Açık yaşı
5 gün
Kaydı açan
GitHub_M

ÖzetTürkçe

Authlib, OAuth ve OpenID Connect sunucuları oluşturan bir Python kütüphanesidir. 1.9.0 sürümünden önce, varsayılan RFC 7523 JWTBearerGrant.get_audiences yöntemi boş bir liste döndürüyor; bu da JWTBearerGrant.verify_claims yönteminin yalnızca bir aud talebinin varlığını doğrulamasına, mevcut yetkilendirme sunucusuyla eşleşip eşleşmediğini kontrol etmemesine neden oluyor. Başka bir servis için geçerli bir onaya sahip bir saldırgan, aynı imzalama anahtarını paylaşan ve varsayılan yetki akışını kullanan bir sunucuya bu onayı sunarak güven sınırını aşan bir erişim belirteci elde edebilir. get_audiences yöntemini sunucunun geçerli hedef kitle tanımlayıcılarıyla geçersiz kılan uygulamalar etkilenmez. Bu sorun 1.9.0 sürümünde giderilmiştir.

Kaynaktaki açıklama (İngilizce)

Authlib is a Python library which builds OAuth and OpenID Connect servers. Prior to 1.9.0, the default RFC 7523 JWTBearerGrant.get_audiences() returns an empty list, causing JWTBearerGrant.verify_claims() to require only that an aud claim exists without matching the current authorization server. An attacker holding a legitimate assertion for another service can present it to a server that shares the signing key and uses the default grant, obtaining an access token across a trust boundary. Implementations that override get_audiences() with the server's valid audience identifiers are not affected. This issue is fixed in version 1.9.0.

Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
authlib < 1.9.0 1.9.0

Kaynaklar6 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.