Authlib : contournement possible de l’exigence TLS lors de contrôles d’URL

Veille sécuritéBackend & données

P4Faible

Dans Authlib de 0.13 à avant 1.8.0, une comparaison textuelle incorrecte peut faire accepter comme sécurisé un URL HTTP dont l’hôte réel n’est pas une adresse de bouclage. Cela peut contourner une vérification imposant TLS pour certaines URL fournies par un utilisateur, notamment lors de la validation de métadonnées OIDC.

IdentifiantCVE-2026-114614

GravitéFaible

Exploitationnon connue / non déterminée

Correctif1.8.0

Source : CVE-2026-114614 — NVD

Analyse technique

La fonction authlib.common.security.is_secure_transport() utilise une comparaison de préfixe qui peut être trompée par la partie userinfo de l’URL. Le problème ne contourne pas à lui seul la correspondance exacte des URI de redirection et ne permet pas de forger des jetons ni d’authentifier un utilisateur.

Impact, versions et correctif

Événement datéLa publication NVD est datée du 2026-10-22 à 21:17:16 UTC, soit le 2026-10-22 à 23:17:16 +02:00, dans la période retenue.

ImpactUn attaquant pouvant fournir une URL à un point d’entrée concerné peut faire accepter un endpoint HTTP non chiffré ou provoquer une redirection en clair.

Versions affectéesAuthlib de 0.13 à avant 1.8.0

Version corrigée1.8.0

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS2.6

Publication2026-10-22T23:17:16.683+02:00

Action recommandée

Mettre à niveau Authlib vers la version 1.8.0 ou ultérieure.

Sources

CVE-2026-114614 — NVD

Priorisation DFS : P4 · 1 source(s).