Më 27 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-6v38-4h7w-rj9h (CVE-2026-96760) për një dobësi me rrezikshmëri kritike (CVSS 9.1) në paketën authlib të ekosistemit PyPI.
Paketat e prekura
- authlib (PyPI) — versionet e prekura:
<= 1.8.0; versioni me rregullim:1.9.0
Detaje
- Rrezikshmëria: Kritike (CVSS 9.1)
- CWE: CWE-347 (Improper Verification of Cryptographic Signature)
- Identifikuesit: GHSA-6v38-4h7w-rj9h, CVE-2026-96760
Përmbledhja zyrtare
Authlib: anashkalim i verifikimit në JWS JSON me listë bosh nënshkrimesh. Authlib, në versionet para 1.9.0, përmban një cenueshmëri që lejon anashkalimin e verifikimit të nënshkrimit. Metoda JsonWebSignature.deserialize_json() pranon një objekt JWS në formatin JSON Serialization dhe e kthen përmbajtjen si të verifikuar me sukses, pa kontrolluar praninë e një nënshkrimi dhe pa kërkuar një çelës kriptografik.
Shkaku ndodhet në skedarin authlib/jose/rfc7515/jws.py, sipas kodit të lexuar në paketën e instaluar të versionit 1.8.0. Variabla is_valid inicializohet me vlerën True dhe mund të marrë vlerën False vetëm brenda ciklit që përpunon nënshkrimet.
Kur një objekt JWS JSON Serialization ka një listë signatures bosh, cikli nuk ekzekutohet asnjëherë. Si pasojë, is_valid ruan vlerën True dhe përmbajtja pranohet si e verifikuar, megjithëse nuk është kryer verifikimi i nënshkrimit.
Çfarë duhet të bëni
Nëse projektet tuaja përdorin authlib, përditësojeni sa më shpejt në versionin 1.9.0 ose më të ri.
