CVE.futuretools
FAQ
NVD NIST
CVE-2026-114619

Authlib: OpenID implicit grant checks raw scope instead of allowed scope before issuing ID tokens

CVSS 3.1Medium
4.6/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 1.9.0
Обновите Authlib до версии 1.9.0 или выше.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Authlib проверяет исходный scope от клиента вместо разрешенного перед генерацией ID token в OpenID Implicit Grant.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

В модуле authlib/oidc/core/grants/implicit.py метод OpenIDImplicitGrant.validate_authorization_request() проверяет наличие значения openid в нефильтрованном request.payload.scope, игнорируя очищенный список scope из request.scope родительского гранта.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Клиент, которому разрешен response_type id_token, но не назначен scope openid, может подставить openid в запрос и получить подписанный ID token с subject и профильными claims пользователя.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

authlibauthlib
все ранние➔Fix: 1.9.0
——
>= 0➔Fix: 1.9.0

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (4)

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-114619: Authlib: OpenID implicit grant checks raw scope instead of allowed scope before issuing ID tokens. URL: https://cve.futuretools.ru/cve/CVE-2026-114619
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_114619,
  title = {{CVE-2026-114619: Authlib: OpenID implicit grant checks raw scope instead of allowed scope before issuing ID tokens}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-114619}},
  note = {Оперативный инженерный анализ киберугроз}
}