Dans Authlib avant 1.9.0, la validation des ID tokens peut faire confiance à un indicateur `nonce_supported` contrôlé par le jeton et désactiver la vérification du nonce. Cela peut permettre, dans certains flux OpenID Connect, la rejeu d’un jeton valide vers une session contrôlée par l’attaquant ; le flux authorization code seul n’est pas concerné.
Source : NVD — CVE-2026-114617
Analyse technique
OpenIDMixin.parse_id_token() peut mettre le nonce attendu à null lorsque le jeton déclare `nonce_supported` à false. Le jeton doit néanmoins satisfaire les vérifications de signature, d’émetteur et d’audience.
Impact, versions et correctif
Détection / vérification
Examiner les intégrations OpenID Connect, en particulier les flux implicite/hybride et l’acceptation directe de jetons ID externes.
Action recommandée
Mettre Authlib à niveau vers la version 1.9.0 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).