Veille sécuritéBackend & données
P3Élevée
Dans certaines configurations Authlib utilisant un registre d’algorithmes mixte, des octets de clé publique précédés d’espaces, de commentaires ou d’une marque BOM peuvent être traités comme secret HMAC, permettant la falsification de jetons HS256. Mettre à jour vers Authlib 1.9.0.
Python
IdentifiantCVE-2026-114615
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif1.9.0
Source : NVD — CVE-2026-114615
Analyse technique
OctKey.import_key() ne détecte certains marqueurs de clé asymétrique qu’au premier octet, alors que les chargeurs PEM acceptent des préfixes.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-22T22:18:04Z, soit le 2026-10-23T00:18:04+02:00, dans la période retenue.
ImpactSelon la configuration concernée, un attaquant connaissant les octets de la clé publique peut fabriquer des jetons avec des revendications d’identité ou d’autorisation arbitraires.
Versions affectéesAuthlib 1.3.1 à 1.8.x selon la description fournie; versions antérieures à 1.9.0.
Version corrigée1.9.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.4
EPSS0,13% · percentile 2,2%
Publication2026-10-23T00:18:04+02:00
Mise à jour2026-10-23T21:34:14+02:00
Détection / vérification
Vérifier l’utilisation d’Authlib et les clés PEM/certificats employées pour la vérification JWT, notamment celles comportant un préfixe.
Action recommandée
Mettre à jour Authlib vers la version 1.9.0 ou ultérieure et vérifier la configuration des algorithmes JWT.
Sources
Priorisation DFS : P3 · 1 source(s).