Authlib — contrôle insuffisant des droits sur les enregistrements de clients

Veille sécuritéBackend & données

P3Élevée

Les exemples documentés d’Authlib pour authentifier et vérifier les permissions d’un client dans ClientConfigurationEndpoint ne vérifient pas que l’identifiant fourni dans les justificatifs appartient au client ciblé. Dans les déploiements qui suivent ces deux exemples, un détenteur d’un jeton d’accès valide peut potentiellement consulter, modifier ou supprimer l’enregistrement d’un autre client ; mettre à niveau vers 1.9.1.

IdentifiantCVE-2026-116672

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif1.9.1

Source : NVD — CVE-2026-116672

Analyse technique

Le scénario décrit vise les déploiements qui reprennent les implémentations de référence documentées ; la modification des redirect_uris peut exposer à l’interception d’un code d’autorisation ou d’un jeton.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-27T17:16:59Z, soit le 2026-10-27T19:16:59+02:00, dans la période demandée. La version corrigée et le comportement sont rapportés par la fiche NVD fournie.

ImpactAccès non autorisé aux enregistrements de clients, modification de paramètres pouvant exposer des flux OAuth, ou suppression entraînant un déni de service.

Versions affectées≥0.15, <1.9.1

Version corrigée1.9.1

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS8.8

Publication2026-10-27T19:16:59+02:00

Mise à jour2026-10-27T23:31:20+02:00

Action recommandée

Mettre à niveau Authlib vers 1.9.1 et vérifier les implémentations de ClientConfigurationEndpoint.

Sources

NVD — CVE-2026-116672

Priorisation DFS : P3 · 1 source(s).