Veille sécuritéBackend & données
P3Critique
Authlib peut traiter comme vérifié un JWS JSON dont le tableau `signatures` est vide, sans vérifier de signature cryptographique. Les versions jusqu’à 1.8.0 sont concernées selon l’avis ; mettre à jour vers 1.9.0 ou une version ultérieure.
Python
IdentifiantCVE-2026-96760
GravitéCritique
Exploitationnon connue / non déterminée
Correctif1.9.0
Source : GHSA-6v38-4h7w-rj9h — Authlib: empty signatures validation in JWS JSON deserialization
Analyse technique
Dans la désérialisation JSON JWS, le résultat est initialisé comme valide et peut le rester si la liste des signatures est vide. Un système qui fonde une décision d’identité ou d’autorisation sur ce résultat peut accepter des données non signées.
Impact, versions et correctif
Événement datéAvis publié le 2026-10-27T14:50:18Z, dans la période demandée.
ImpactUn contenu JWS JSON forgé peut être accepté comme signé ; dans les usages concernés, cela peut permettre un contournement d’authentification ou d’autorisation.
Versions affectéesAuthlib <= 1.8.0
Version corrigée1.9.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.1
EPSS0,38% · percentile 32,2%
Publication2026-10-27T14:50:18Z
Mise à jour2026-10-27T14:50:19Z
Action recommandée
Mettre à jour Authlib vers 1.9.0 ou ultérieure et ne pas considérer un JWS JSON comme authentifié sans signature vérifiée.
Sources
Priorisation DFS : P3 · 1 source(s).