- Yama var
- Son 7 gün
- CWE-863
CVE-2026-114619
Authlib'de OpenID örtük izin akışı, ID token vermeden önce yetkisiz kapsamı denetliyor
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
Authlib, OAuth ve OpenID Connect sunucuları oluşturmak için kullanılan bir Python kütüphanesidir. 1.9.0 sürümünden önce OpenIDImplicitGrant.validate_authorization_request fonksiyonu, üst izin akışının izin verilen kapsamları request.scope içine süzmesinden sonra, istemcinin kontrol ettiği ham request.payload.scope değerinde openid bulunup bulunmadığını denetliyordu. ID token yanıt türüne izin verilmiş ancak openid kapsamına izin verilmemiş kayıtlı bir istemci, isteğe openid ekleyerek kullanıcı onayı alabiliyor ve kullanıcının konu (subject) bilgisini ile izin verilen profil taleplerini içeren, imzalanmış bir ID token elde edebiliyordu. Yetkilendirme kodu akışı ve her istemciye openid izni tanıyan dağıtımlar, ID token yanıtına izin verilen durumlarda etkilenmemektedir. authlib/oidc/core/grants/implicit.py dosyasında OpenIDImplicitGrant.validate_authorization_request fonksiyonu, süzülmüş request.scope yerine request.payload.scope değerini denetlemektedir. Bu sorun 1.9.0 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
Authlib is a Python library which builds OAuth and OpenID Connect servers. Prior to 1.9.0, OpenIDImplicitGrant.validate_authorization_request() checks the client-controlled raw request.payload.scope for openid after the parent grant has filtered allowed scopes into request.scope. A registered client permitted an ID token response type but not the openid scope can add openid to the request, obtain user consent, and receive a signed ID token containing the user's subject and allowed profile claims. Authorization code flow and deployments that allow openid for every client permitted an ID token response are not affected. In authlib/oidc/core/grants/implicit.py, OpenIDImplicitGrant.validate_authorization_request() checks request.payload.scope instead of the filtered request.scope. This issue is fixed in version 1.9.0.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| authlib | < 1.9.0 | 1.9.0 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.